“La cassa pensioni mi scrive che c’è stato un attacco: i miei soldi sono spariti?” No. È la prima cosa che la lettera dice, ed è vera. Il problema non sono i soldi, sono i dati: e i dati servono a chi vuole farsi credere la tua cassa pensioni.
Cosa è successo all’IPCT?
Non è stato attaccato l’IPCT, ma PK Softech, l’azienda di Reinach (Basilea Campagna) che fornisce il programma per gestire le casse pensioni. Lo usano anche Publica, la cassa della Confederazione, e diverse grandi casse pubbliche e aziendali, per centinaia di migliaia di assicurati in tutta la Svizzera. Ne abbiamo parlato il 14 ottobre, quando il caso riguardava Publica: «Mi chiamano e sanno quanto ho in cassa pensioni».
La sera del 14 ottobre il fornitore ha comunicato all’IPCT che le autorità avevano accertato il furto di dati dai suoi server, senza poter dire di quali casse fossero. Il giorno dopo l’IPCT ha pubblicato un primo avviso sul suo sito. Il 23 ottobre ha scritto a tutti i suoi circa 17’000 assicurati attivi e 10’000 beneficiari di rendita per spiegare cosa si sa. Il Centro sistemi informativi del Cantone, che ospita i sistemi dell’IPCT, non è stato violato. Indagano il Ministero pubblico della Confederazione e la polizia federale; l’IPCT ha sporto denuncia.
I capitali di risparmio e le pensioni di tutte le persone assicurate sono al sicuro e non hanno subito alcuna compromissione.
Sono tra le persone coinvolte?
Per ora i gruppi individuati sono due, e chi ne fa parte riceve una seconda lettera separata. I dati erano sul server del fornitore perché servivano per due lavori in corso:
| Chi | Quanti | Quali dati |
|---|---|---|
| Chi è uscito dall’IPCT nel 2024 o nel 2025 (dimissioni o decesso) | circa 1’700 | nome, indirizzo, data di nascita, numero AVS, numero di assicurato, importo della prestazione d’uscita, nome della nuova cassa pensioni e l’IBAN di quella cassa (non il tuo). Solo per circa 50 persone, quelle a cui la prestazione d’uscita è stata pagata direttamente invece che trasferita a un’altra cassa, c’era anche l’IBAN personale |
| Alcuni beneficiari di una rendita d’invalidità, quelli per cui era in corso un aggiornamento dei dati | circa 80 | nome, data di nascita, numero AVS, numero di assicurato, salario assicurato, avere di vecchiaia, grado e data d’inizio dell’invalidità |
Tre parole della tabella, in una riga ciascuna. L’IBAN è il numero del conto, quello che inizia con CH. Il numero AVS è il numero che inizia con 756: lo trovi anche sulla tessera della cassa malati. La prestazione d’uscita sono i soldi del secondo pilastro che passano alla nuova cassa quando cambi lavoro.
In nessuno dei due file c’erano email o numeri di telefono. Per tutti gli altri assicurati l’IPCT dice che non ci sono indicazioni concrete che i loro dati siano usciti, ma che non può escluderlo del tutto: le indagini sono in corso e potrebbe non arrivare mai una certezza.
L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha aperto il 22 ottobre un’indagine formale sul fornitore, per capire quali dati gli erano stati affidati e quanti ne sono usciti.
IFPDT, indagine dopo l'attacco al fornitore di software (in tedesco)Cosa possono fare con questi dati?
Rendere credibile una truffa, non prendere i tuoi soldi dalla cassa. Con il nome, il numero AVS e l’importo della tua prestazione d’uscita, qualcuno può presentarsi come:
- l’IPCT o la tua nuova cassa pensioni, che ti chiede di «confermare» o «aggiornare» l’IBAN per un pagamento, o di cliccare su un link per «verificare la tua posizione»;
- un consulente finanziario che sa esattamente quanto hai ritirato o trasferito e ti propone di «farlo rendere di più»: è lo schema da cui la polizia cantonale di Zurigo ha messo in guardia il 14 ottobre, dopo la fuga di dati dal fornitore.
Potrebbe presentarsi anche come un ufficio pubblico, per esempio l’AVS, e usare il tuo numero AVS per sembrare ufficiale. Il numero AVS da solo non apre conti né sposta soldi. Ma insieme agli altri dati fa sembrare vera qualsiasi richiesta.
Polizia cantonale di Zurigo (cybercrimepolice.ch), chiamate fraudolente dopo la fuga di dati IPCT, cambiamento del conto di versamentoCosa faccio adesso?
- Controlla se ti è arrivata anche una seconda lettera. Chi fa parte dei due gruppi riceve una seconda lettera, separata. Se sei uscito dall’IPCT nel 2024 o nel 2025, o ricevi una rendita d’invalidità, e non ti è arrivato nulla, chiedi all’IPCT (il numero è al punto 3).
- Diffida per qualche mese di telefonate, email, SMS e lettere inattese che citano l’IPCT, la tua prestazione d’uscita o la tua rendita, soprattutto se chiedono dati, firme, pagamenti o un nuovo IBAN.
- Verifica sempre chiamando tu l’IPCT al 091 814 40 61, il numero indicato sul suo sito. Non usare mai numeri o link che trovi nel messaggio.
- Non dare il numero AVS, password o codici a chi ti chiama, nemmeno se dice di essere della cassa.
- Se hai già dato dati o soldi, chiama subito la banca al numero sul retro della carta o sull’estratto conto (per le banche solo online, la chat nell’app), poi l’IPCT, e sporgi denuncia alla polizia cantonale. Puoi segnalare il tentativo anche all’Ufficio federale della cibersicurezza (UFCS), con il modulo online: bastano pochi minuti; se non usi internet, basta la polizia.
Se ti è più comodo, fai questi controlli con un familiare: una telefonata di verifica dura due minuti.
Prendo una pensione o sono uscito nel 2025: cosa cambia per me?
Se ricevi una pensione di vecchiaia e non hai ricevuto la seconda lettera, non devi fare niente: la pensione continua ad arrivare come sempre. Fai solo attenzione a chi ti chiama. Se preferisci parlare con qualcuno di persona, lo sportello e il telefono dell’IPCT rispondono dal lunedì al venerdì, dalle 9:00 alle 11:30 e dalle 14:00 alle 16:00; fuori orario si può fissare un appuntamento.
IPCT, orari dello sportello e dei telefoniSe sei uscito dall’IPCT nel 2025, per esempio un docente che ha cambiato lavoro, i tuoi soldi sono passati alla nuova cassa. Per i soldi trasferiti, la cassa da chiamare è quella nuova: al numero che trovi sul suo certificato di previdenza o sul suo sito. Avvisala che i dati del trasferimento potrebbero essere usciti e chiedi come verifica le richieste di cambio.
Se la prestazione d’uscita ti è stata pagata direttamente sul conto, il tuo IBAN potrebbe essere nel file. Controlla gli estratti conto nelle prossime settimane. Con il solo IBAN nessuno può prelevare, e un addebito diretto che non hai autorizzato si può contestare: la banca lo storna se lo segnali entro 30 giorni (8 settimane se l’addebito arriva dall’estero).
Raiffeisen, sistema di addebitamento diretto (diritto di contestazione)Un messaggio da girare ai colleghi
Se lavori in una scuola o in un ufficio cantonale, molti colleghi hanno ricevuto la stessa lettera. Puoi copiare questo testo nella chat del gruppo:
Domande frequenti
La lettera dell'IPCT sull'attacco informatico è vera?
Sì: l'IPCT l'ha mandata a tutti gli assicurati il 23 ottobre 2026 e l'ha pubblicata anche sul suo sito, nella sezione dei comunicati. Una lettera vera ti informa e non ti chiede dati, pagamenti o nuovi IBAN.
Sono andato in pensione nel 2024: sono nel gruppo dei 1'700?
La lettera parla solo di chi è uscito dall'IPCT per dimissioni o decesso. Secondo la lettera, chi è andato in pensione non rientra in quel gruppo. In caso di dubbio, chiedi all'IPCT.
Devo cambiare qualcosa, per esempio il conto in banca?
Con il solo IBAN nessuno può prendere soldi dal tuo conto: un addebito diretto richiede un'autorizzazione firmata da te. Se vedi un addebito che non riconosci, la banca lo storna se lo contesti entro 30 giorni (8 settimane se arriva dall'estero). Il rischio vero è un altro: l'IBAN insieme al tuo nome rende credibile una falsa fattura o una richiesta di «conferma».
Sono uscito dall'IPCT nel 2025: cosa rischio di più?
Chi fa la truffa può conoscere l'importo della tua prestazione d'uscita e la cassa a cui è andata. È l'esca perfetta per un falso consulente che ti propone di investirla meglio, o per una finta cassa che chiede di confermare l'IBAN. Nel file c'erano anche il nome della nuova cassa e il suo IBAN: un messaggio che li cita giusti non è per questo vero.
Salva oggi nella rubrica il numero dell’IPCT del punto 3 con il nome «IPCT vero». La prossima volta che qualcuno chiama «dalla cassa», chiudi e chiama tu quel numero.
