“I numeri sono tutti in crescita, ma riguardano le grandi aziende.” È la lettura più comoda di un anno come il 2024, ed è sbagliata a metà: nove segnalazioni su dieci arrivate all’ufficio federale svizzero vengono da privati. La crescita più forte non è nei grandi attacchi, è nelle truffe che arrivano al telefono di casa.
Quanti attacchi ci sono stati in Svizzera nel 2024?
L’UFCS ha ricevuto 62’954 segnalazioni, circa 13’500 in più del 2023, e la polizia ha registrato 59’034 reati con modalità digitale, il 35% in più. Sono due misure diverse: le segnalazioni all’UFCS comprendono anche i tentativi falliti, i reati della polizia sono denunce.
Nel 2024 l’UFCS ha ricevuto in totale 62’954 segnalazioni. Circa il 90% arriva da privati e il 10% da imprese, associazioni e autorità. Ai primi posti restano «frode», «phishing» e «spam».
Per il 2024 sono stati registrati 59’034 reati con modalità digitale, più del doppio rispetto al 2020. Oltre il 90% rientra nella cibercriminalità economica. Il phishing cresce del 56,2%, l’abuso di sistemi di pagamento online, carte prepagate o identità altrui del 104,8%: secondo l’UST questo aumento dipende in particolare dal nuovo reato di usurpazione d’identità (art. 179decies CP), in vigore dal 1° settembre 2023.
| Indicatore (Svizzera) | 2023 | 2024 | Variazione | Fonte |
|---|---|---|---|---|
| Segnalazioni all’UFCS, totale | 49’379 | 62’954 | +27,5% | UFCS |
| di cui telefonate a nome di false autorità | 7’193 | 21’903 | +204,5% | UFCS |
| di cui e-mail minatorie a nome di autorità | 10’120 | 3’825 | −62,2% | UFCS |
| di cui phishing | 9’415 | 12’038 | +27,9% | UFCS |
| di cui truffa del CEO | 487 | 719 | +47,6% | UFCS |
| Reati digitali registrati dalla polizia, totale | 43’839 | 59’034 | +34,7% | UST |
| di cui phishing | 3’796 | 5’930 | +56,2% | UST |
| di cui abuso di pagamenti online, carte o identità altrui | 10’883 | 22’293 | +104,8% | UST |
| di cui truffa CEO / BEC | 412 | 504 | +22,3% | UST |
| Reati digitali chiariti dalla polizia | 23,3% | 18,6% | −4,7 punti | UST |
Fonti: UFCS, Rapporto semestrale 2024/II (6.5.2025); UST/BFS, Statistica criminale di polizia, criminalità digitale per modus operandi (24.3.2025). Il phishing UFCS 2023 è calcolato dal rapporto (12’038 segnalazioni nel 2024, «2’623 in più rispetto all’anno precedente»). Variazioni calcolate da noi.
UST, Criminalità digitaleL’ultima riga è quella che pesa di più: nel 2024 la polizia ha chiarito meno di un reato digitale su cinque. Tradotto: se i soldi partono, recuperarli è difficile. La difesa vera è prima del pagamento.
E in Italia?
Il Rapporto Clusit 2025 conta 357 incidenti gravi noti contro realtà italiane nel 2024, il 15,2% in più del 2023: il 10,1% di quelli censiti nel mondo. A livello globale gli incidenti gravi sono passati da 2’779 a 3’541 (+27,4%). Il Clusit sottolinea la sproporzione: l’Italia ha lo 0,7% della popolazione mondiale e l’1,8% del PIL.
Sempre secondo il Clusit, in Italia il 78% degli incidenti è di matrice cybercriminale e il 22% è attivismo politico (hacktivism). Fra le tecniche il malware è al primo posto con il 38%, seguito da DDoS (21%), sfruttamento di vulnerabilità (19%) e phishing (11%). E un quarto degli incidenti contro il settore manifatturiero nel mondo riguarda aziende italiane.
Il Clusit censisce solo incidenti gravi, andati a buon fine e diventati di dominio pubblico: è un sottoinsieme, non il totale degli attacchi.
Sul fronte delle truffe ai cittadini, la Polizia Postale ha trattato nel 2024 18’714 casi di truffe online (16’325 nel 2023, +15%). Le persone indagate sono rimaste circa 3’500, mentre le somme sottratte sono salite da 137 a 181 milioni di euro (+32%).
ANSA, resoconto 2024 della Polizia PostaleQuali sono state le tre minacce del 2024?
Le telefonate di finte autorità e finti bancari, il phishing che ruba dati di pagamento e identità, il ransomware con la truffa del CEO contro aziende ed enti. Le prime due colpiscono soprattutto le famiglie, la terza soprattutto chi ha una cassa da gestire.
1. La telefonata della “polizia” o della “banca”
È la minaccia che ha fatto crescere i numeri svizzeri del 2024: le segnalazioni di telefonate a nome di false autorità sono passate da 7’193 a 21’903. Un robot chiama numeri a caso, una voce registrata in inglese annuncia un procedimento penale e chiede di premere “1”. A quel punto risponde un truffatore, che convince la vittima a installare un programma di accesso remoto e poi entra nel suo e-banking.
Nel primo semestre 2024 le segnalazioni di truffa sono 23’104; 13’730, quasi il 40%, riguardano finte telefonate da parte delle autorità. L’UFCS nota che il telefono è sempre più usato al posto dell’e-mail perché permette di rispondere subito ai dubbi della vittima.
Nella seconda metà dell’anno è tornata in forza una variante: il finto “signor Bianchi” del reparto sicurezza della banca, con il numero della banca falsificato sul display, che segnala un addebito sospetto di CHF 800 e chiede di installare un programma per “bloccarlo”. Ne ho parlato in mi ha chiamato la banca: la truffa con AnyDesk.
2. Il phishing che ruba carte e identità
In Svizzera il phishing denunciato alla polizia è cresciuto del 56% e l’abuso di carte, pagamenti online e identità altrui è più che raddoppiato. L’UFCS ha verificato 9’355 siti di phishing unici nel solo secondo semestre, quasi il doppio dello stesso periodo del 2023. I marchi più imitati: finanza (23%), servizi postali (22%), trasporti pubblici (22%).
Le novità del 2024 secondo l’UFCS: messaggi via RCS e iMessage, che passano sotto i filtri SMS degli operatori; codici QR falsi incollati sui parchimetri; finti CAPTCHA che fanno eseguire comandi dannosi (la tecnica spiegata in la finta verifica “sono umano”).
UFCS, Rapporto semestrale 2024/II3. Ransomware e truffa del CEO contro aziende ed enti
Per le organizzazioni il ransomware resta, secondo l’UFCS, la minaccia più rilevante, e la truffa del CEO è cresciuta da 487 a 719 segnalazioni. I casi di ransomware segnalati all’UFCS nel 2024 sono 92: pochi, ma l’ufficio avverte che il numero non dice nulla sull’entità dei danni, e che quasi ogni attacco porta con sé una fuga di dati. In Italia il malware, ransomware compreso, è la prima tecnica negli incidenti gravi censiti dal Clusit.
Quali casi hanno fatto notizia?
Quattro casi, due svizzeri e due italiani, raccontano bene l’anno.
Svizzera, gennaio e giugno: attacchi DDoS durante il WEF e la Conferenza sulla pace al Bürgenstock. Il gruppo filorusso NoName057(16) ha bombardato di richieste i siti legati ai due eventi. Un attacco DDoS non ruba dati: rende un sito irraggiungibile per qualche ora. Secondo l’UFCS gli attacchi sono rimasti nei limiti previsti e i sistemi non sono mai stati in serio pericolo.
UFCS, Rapporto semestrale 2024/1Svizzera, secondo semestre: la truffa del CEO contro Comuni, scuole e parrocchie. Il motivo è semplice: questi enti pubblicano online organigrammi, nomi e indirizzi e-mail, per essere vicini alla popolazione. Per un truffatore è l’elenco già pronto di chi può autorizzare un pagamento. L’UFCS raccomanda il principio dei quattro occhi e la firma congiunta per i pagamenti.
UFCS, Rapporto semestrale 2024/II, cap. 5.3Italia, 18 aprile: il ransomware contro Synlab Italia. Il gruppo di laboratori ha spento tutti i sistemi informatici in Italia e sospeso le attività di punti prelievo, centri medici e laboratori, compreso il ritiro dei referti. A maggio il gruppo criminale Black Basta ha pubblicato sul dark web circa 1,5 terabyte di documenti, fra cui referti e dati dei documenti d’identità di pazienti. L’azienda ha dichiarato di non aver trattato con i criminali.
Quotidiano Sanità Il PostItalia, tutto l’anno: una sola falla, decine di testate colpite. Il Clusit descrive un gruppo criminale che ha sfruttato una vulnerabilità ancora sconosciuta in un software per siti di notizie molto diffuso: le fonti riferiscono 77 vittime, 62 delle quali note in Italia, e il furto di dati personali di circa 5 milioni di utenti. È il motivo per cui nel 2024 il settore informazione è in cima alle vittime italiane. La lezione vale per tutti: quando un intero settore usa lo stesso programma, una sola falla basta a colpirlo tutto.
Clusit, Rapporto 2025, «Il caso News / Multimedia»Cosa è cambiato in Svizzera nel 2024?
Dal 1° gennaio 2024 la Svizzera ha un Ufficio federale della cibersicurezza (UFCS), e nel corso dell’anno ha preparato l’obbligo di segnalare i ciberattacchi alle infrastrutture critiche, in vigore dal 1° aprile 2025. L’UFCS ha preso il posto del Centro nazionale per la cibersicurezza (NCSC), con sede nel Dipartimento della difesa (DDPS).
Consiglio federale, «Tre nuove unità amministrative al DDPS»Le tappe dell’obbligo di segnalazione:
- 22 maggio 2024: il Consiglio federale mette in consultazione l’ordinanza sulla cibersicurezza, che dice come funzionerà l’obbligo (consultazione chiusa il 13 settembre 2024);
- 1° aprile 2025: l’obbligo entra in vigore. I gestori di infrastrutture critiche devono segnalare all’UFCS entro 24 ore gli attacchi rilevati;
- 1° ottobre 2025: fine dei sei mesi senza sanzioni, da lì chi non segnala può essere multato.
Riguarda una piccola azienda? Di solito no: il portale PMI della Confederazione indica che nei nove settori delle infrastrutture critiche (autorità, energia, smaltimento, finanza, sanità, informazione e comunicazione, alimentazione, sicurezza pubblica, trasporti) sono esentate in generale le imprese con meno di 50 dipendenti e meno di 10 milioni di franchi di fatturato o di bilancio. Chi è esentato può comunque segnalare con lo stesso modulo, ed è una buona idea farlo.
Portale PMI della Confederazione (SECO)Un’ultima lezione del 2024 non viene da un attacco. Il 19 luglio un aggiornamento difettoso di un software di sicurezza ha bloccato circa 8,5 milioni di computer Windows nel mondo e ha fermato per ore anche il traffico aereo in Svizzera. L’UFCS ne trae una regola utile anche per una piccola azienda: le misure tecniche non bastano, serve sapere cosa si fa quando i computer non partono.
UFCS, Rapporto semestrale 2024/II, cap. 6.2Il Metodo 3V applicato alle minacce del 2024
Le tre minacce dell’anno hanno lo stesso motore: qualcuno finge di essere la polizia, la banca, il corriere o il tuo capo. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nei casi del 2024 | |
|---|---|---|
| Verifica | Chi mi contatta è davvero chi dice di essere? | Il numero della banca sul display si falsifica: riattacca e richiama tu dal numero sul retro della carta. La polizia non chiama con una voce registrata in inglese. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Una banca seria non ti chiede di installare un programma di accesso remoto. Che un sindaco o un presidente di associazione chieda carte regalo via e-mail non ha senso. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Premi 1 subito”, “blocchiamo l’addebito adesso”, “il bonifico deve partire entro stasera”: la fretta serve a non farti verificare. |
Cosa fare oggi
- Concorda in famiglia la regola del “riattacco e richiamo”: nessuna informazione e nessun programma installato su richiesta di chi telefona, anche se il numero sembra quello giusto.
- Attiva la verifica in due passaggi su e-mail, e-banking e account dei social. Come scegliere il metodo: SMS, app o chiave.
- Controlla i link prima di inserire dati: in caso di dubbio, verifica il sito su sito-ok.com. E controlla se la tua e-mail compare in una fuga di dati su passwordrubata.com.
- In azienda, fissa la soglia dei pagamenti oltre la quale serve una conferma fuori canale e una seconda firma. Spiegalo anche a chi siede nel comitato di un’associazione.
- Fai un backup separato e prova a ripristinarlo: la regola 3-2-1 è spiegata in backup che funziona.
- Segnala, anche i tentativi falliti: in Svizzera all’UFCS e, se c’è un danno, alla polizia cantonale; in Italia alla Polizia Postale. Le segnalazioni sono il motivo per cui oggi conosciamo questi numeri.
Domande frequenti
Quanti attacchi informatici ci sono stati in Svizzera nel 2024?
L'Ufficio federale della cibersicurezza (UFCS) ha ricevuto 62'954 segnalazioni, contro 49'379 nel 2023. La polizia ha registrato 59'034 reati con modalità digitale, il 35% in più (statistica UST). Non sono tutti attacchi riusciti: le segnalazioni all'UFCS comprendono anche i tentativi falliti, e circa il 90% arriva da privati.
Quali sono state le truffe più diffuse nel 2024?
In Svizzera le telefonate di finte autorità, salite da 7'193 a 21'903 segnalazioni all'UFCS, poi il phishing e l'abuso di carte e identità altrui, più che raddoppiato nelle denunce. In Italia la Polizia Postale ha trattato 18'714 casi di truffe online, con 181 milioni di euro sottratti.
Quanti attacchi ci sono stati in Italia nel 2024?
Il Rapporto Clusit 2025 conta 357 incidenti gravi noti contro realtà italiane nel 2024, il 15,2% in più del 2023 e il 10,1% di quelli censiti nel mondo. Sono solo gli incidenti gravi diventati pubblici: il numero totale degli attacchi non lo misura nessuna fonte pubblica.
Una piccola azienda svizzera deve segnalare un ciberattacco all'UFCS?
L'obbligo, in vigore dal 1° aprile 2025, riguarda i gestori di infrastrutture critiche, con segnalazione entro 24 ore. Secondo il portale PMI della Confederazione, le imprese con meno di 50 dipendenti e meno di 10 milioni di franchi di fatturato sono in generale esentate. Segnalare volontariamente resta possibile e utile.
L’anno prima, con i numeri del 2023, è in la retrospettiva 2023. Se nel 2024 ti ha chiamato la “banca”, il prossimo passo è leggere come funziona la truffa con l’accesso remoto: la regola del riattacco e richiamo si impara in cinque minuti e vale per tutte le telefonate che verranno.
