Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
I dati delle prenotazioni rubati ai fornitori e usati per truffe con dati veri, in mezza Europa. Hotel, campeggi e agenzie di viaggio non gestiscono le prenotazioni da soli: usano programmi di aziende esterne. A ottobre più di uno di questi fornitori è stato violato, e i clienti hanno ricevuto su WhatsApp messaggi con il nome dell’hotel, le date e il numero di prenotazione giusti, più un link per «confermare» o pagare un acconto.
- Svizzera, 26 ottobre: i campeggi TCS, circa 15’000 clienti avvisati. Ne abbiamo scritto in Messaggio WhatsApp dal campeggio con la tua prenotazione vera.
- Germania, 12 ottobre: il Garante della privacy della Bassa Sassonia avverte ospiti e strutture: alcuni fornitori di sistemi di prenotazione sono stati attaccati e molte strutture della regione sono coinvolte.
- Austria, 25-26 ottobre: con le credenziali rubate a un’azienda collegata, qualcuno ha letto le prenotazioni future di strutture del Salisburghese, del Tirolo e della Stiria, comprese località dove vanno molti ticinesi e italiani come Ischgl, St. Anton e Seefeld.
- Belgio, 10-12 ottobre: clienti di TUI hanno ricevuto messaggi con hotel, date e a volte l’importo esatto del viaggio.
Cosa è successo in Svizzera?
Un mese pesante: dati di casse pensioni, di Ricardo, della federazione di hockey e del TCS in mano ai truffatori, più la falla PHP2Shell che dal 21 al 26 ottobre ha fatto spegnere per precauzione i servizi online del Cantone Ticino.
- Casse pensioni (23 ottobre): l’attacco di fine settembre a un fornitore di software per le casse pensioni, rivendicato dal gruppo Akira, tocca anche l’Istituto di previdenza del Cantone Ticino. Circa 1’800 persone hanno dati esposti: per chi è uscito dalla cassa nel 2024 e 2025 anche numero AVS, importo della prestazione e IBAN della nuova cassa. Capitali e rendite sono al sicuro. Diffida di chiamate e messaggi «della cassa pensioni»: con quei dati possono sembrare molto credibili.
- Ricardo (9 ottobre): nomi, indirizzi e telefoni di circa 890’000 account. L’articolo.
- Federazione svizzera di hockey (27 ottobre): dati degli affiliati in vendita, anche di ragazzi. L’articolo.
- Scuole vodesi (31 ottobre): copiati nomi, email scolastiche e richieste di assistenza di circa 38’000 studenti e 3’500 docenti dalla piattaforma di supporto informatico dei licei e delle scuole professionali. Le password non erano lì.
- Comune di Manno (27 ottobre): ripartito grazie ai backup, ma i dati sono stati pubblicati. L’articolo.
- Telefonate e lettere false: il numero della polizia di Lugano falsificato (articolo), le lettere della dogana con il codice QR (articolo) e le «chiamate shock» agli anziani, con tre arresti a Chiasso.
L’Incaricato federale della protezione dei dati ha detto a fine mese di aver già ricevuto 455 segnalazioni di violazioni di dati nel 2026, contro 343 in tutto il 2025.
E in Italia?
Multe false a raffica, caselle email della Camera violate, un’altra RSA bloccata dal ransomware e una truffa al fornitore finita bene grazie alla Polizia Postale.
- Multe false: sono state il tema di phishing più usato del mese, da SMS «della Polizia» a PEC rubate a nome di PagoPA.
- Agenzia delle Entrate (23 ottobre): email false chiedono 732 euro entro il 7 novembre per una «dichiarazione dei redditi non corrispondente». L’Agenzia le disconosce: la tua posizione la controlli dal sito ufficiale con SPID o CIE.
- Camera dei deputati (27 ottobre): prese di mira alcune caselle email di parlamentari, tra cui una intestata alla presidente del Consiglio (non quella usata per il governo). La Camera ha lavorato con l’Agenzia per la cybersicurezza nazionale; non è noto se siano stati rubati dati.
- RSA di Rovereto (28-29 ottobre): ransomware con richiesta di riscatto; l’azienda sanitaria trentina ha staccato per precauzione i collegamenti con tutte le RSA della provincia.
- Una truffa con lieto fine (19-20 ottobre): un’azienda veneta ha pagato 53’215 euro su un IBAN cambiato da una email falsa «del fornitore». Ha chiamato subito la Polizia Postale, che ha bloccato e restituito tutta la somma. La velocità ha fatto la differenza.
- Garante privacy (29 ottobre): scaduto il termine per adeguare le newsletter ai «pixel» che registrano chi apre le email: serve il consenso. Riguarda ogni PMI che manda newsletter.
Cosa cambia per chi perde soldi con il phishing in Italia?
La Corte di giustizia UE ha deciso il 15 ottobre che la banca deve rimborsare subito un pagamento non autorizzato, anche se pensa che il cliente sia stato gravemente negligente. Il caso: una venditrice online polacca aveva inserito i dati della banca su un sito falso, e la banca le aveva negato il rimborso per «colpa grave».
Per la Corte la banca deve rimborsare entro la fine del giorno lavorativo successivo alla segnalazione. Solo dopo può chiedere indietro i soldi al cliente, e la colpa grave la deve dimostrare la banca. L’unica eccezione è il sospetto fondato di frode da parte del cliente stesso, comunicato alle autorità.
Corte di giustizia UE, comunicato stampa 147/26, causa C-70/25 (in inglese)Tutti i dettagli, con la tabella Italia e Svizzera, in Phishing e conto svuotato: la banca deve rimborsarti subito.
Quali nuove truffe arrivano dall’Europa?
La più insidiosa è la finta banca che ti fa appoggiare la carta al telefono. Nei Paesi Bassi la polizia ha arrestato il 6 ottobre due giovani accusati di questo schema: una voce generata dall’IA «della banca» segnala movimenti sospetti, poi un finto impiegato ti fa installare un’app e appoggiare la carta contactless al telefono. L’app copia i dati della carta e li manda a un complice davanti a un bancomat, che preleva subito. Circa 170 vittime e 380’000 euro di danni. In Italia la stessa tecnica gira dal 2025 con il nome di SuperCard X.
Polizia olandese, nuova forma di truffa della finta assistenza bancaria (in olandese)Nessuna banca ti chiede di installare un’app al telefono o di avvicinare la carta al telefono. Se te lo chiedono, riattacca. L’abbiamo spiegata in La «banca» ti chiede di appoggiare la carta al telefono?.
Altre truffe del mese che girano in più Paesi:
- Finti rimborsi e bonus dello Stato: in Germania a nome del portale fiscale, in Austria del ministero delle finanze e di un «bonus clima» che non esiste più, in Italia dell’Agenzia delle Entrate.
- Finte votazioni su WhatsApp per rubare l’account: Svizzera, Italia, Francia, Spagna, Germania. Ne abbiamo scritto in WhatsApp rubato con il falso concorso.
- Codici QR falsi su parchimetri e colonnine di ricarica, segnalati in Germania.
Comuni, ospedali e aziende: chi è stato colpito?
Ransomware e furti di dati hanno toccato enti piccoli e grandi in tutta Europa. Qualche esempio che aiuta a capire il quadro:
- Comuni: Eichstätt in Baviera (12 ottobre), municipio chiuso e sistemi spenti, mentre si indaga per capire se sono usciti dati; Reichenau an der Rax in Austria, dati pubblicati dallo stesso gruppo che ha colpito Manno, con il sindaco che ha scoperto la gravità «dal giornale».
- Ospedali: le Kreiskliniken Kassel in Germania (5 ottobre), dati di pazienti probabilmente sottratti; la Charité di Berlino (30 ottobre), circa 140’000 contatti presi dal modulo del sito; l’AP-HP di Parigi, dati di 1’015 pazienti presi dal programma per scegliere i pasti.
- Supermercati in Francia (11-12 ottobre): secondo la stampa di settore, qualcuno ha preso il controllo a distanza delle centraline dei frigoriferi in diversi supermercati, e la merce fresca è andata persa. Il CERT-FR, la squadra di emergenza informatica dello Stato francese, segnala numerose centraline di refrigerazione manomesse perché raggiungibili da Internet; il produttore Danfoss parla di un numero limitato di sistemi, per lo più vecchi e senza più aggiornamenti.
- Il fisco belga (28 ottobre): servizi online spenti dopo un attacco, la scadenza del 31 ottobre per alcune dichiarazioni rinviata al 16 novembre; il ministero dice che non risultano dati rubati.
Cosa è successo negli altri Paesi europei?
Oltre ai casi raccontati sopra, ecco gli altri fatti del mese, Paese per Paese. Molti sono truffe che nelle settimane successive arrivano anche da noi.
Germania
- Finto rimborso delle tasse (15 ottobre): email «rimborso confermato» a nome del portale fiscale tedesco, con la richiesta dei dati della carta entro pochi giorni. Per tutto il mese sono girate anche email false a nome delle principali banche, di PayPal, Amazon e Spotify.
- Codici QR falsi e furti di account WhatsApp (21 ottobre): la polizia della Renania-Palatinato avverte di adesivi con QR falsi su parchimetri e colonnine di ricarica, e delle finte votazioni che rubano l’account WhatsApp per chiedere da 400 a 800 euro ai contatti.
- Università di Lipsia (28 ottobre): offline per giorni dopo un attacco informatico.
Austria
- Finto «bonus clima» (12 ottobre): SMS ed email su un bonus statale che dal 2025 non esiste più. Chi clicca viene portato a un «bonifico di prova» che apre la strada ad altri bonifici, con danni fino a decine di migliaia di euro.
- Il ministero delle finanze avverte (18 ottobre): messaggi falsi a nome del fisco, della dogana e del portale delle tasse, con scadenze inventate e «verifiche del conto» per gli assegni familiari. Il ministero manda i documenti solo per posta o nel portale ufficiale.
- Loxone (18 ottobre): l’azienda austriaca della domotica ha subito un attacco partito da uno dei suoi server web. Secondo Loxone sono stati copiati soprattutto dati del gestionale clienti: contatti delle aziende partner (in particolare gli installatori), richieste di assistenza e candidature. Le centraline nelle case, l’accesso remoto e i servizi online che le fanno funzionare non sono coinvolti. Loxone ha aggiunto la verifica in due passaggi agli account e ricorda che non chiede mai password per email o telefono.
- Per le PMI (22 ottobre): falsi negozi online e finte offerte di «merce di reso» a prezzo scontato mandate alle aziende, con bonifico anticipato.
Francia
- ENGIE (23 ottobre): i clienti francesi di luce e gas sono stati avvisati del furto di nome, indirizzo, email, telefono, numero di contratto e codice del contatore, presi attraverso uno strumento usato dai partner commerciali. Niente dati bancari. Con questi dati le finte telefonate «del fornitore di energia» diventano molto credibili.
- Finte votazioni WhatsApp (27 ottobre): anche il servizio nazionale francese di assistenza alle vittime avverte della stessa truffa che gira in Svizzera e in Italia.
Spagna
- WhatsApp sugli iPhone non aggiornati (14 ottobre): l’istituto nazionale per la cybersicurezza avverte di account WhatsApp usati di nascosto per chiedere soldi ai contatti, soprattutto su iPhone con versioni vecchie di iOS. Consigli: aggiornare, attivare la verifica in due passaggi e controllare i dispositivi collegati.
- Email false della polizia (31 ottobre): messaggi a nome di Policía, Guardia Civil e dello stesso istituto che minacciano un arresto.
Regno Unito
- ASOS (6 ottobre): i clienti del negozio di moda online hanno ricevuto sull’app una notifica inviata da qualcuno non autorizzato; sono stati letti nomi e recapiti, non carte né password. ASOS vende anche in Svizzera e in Italia: diffida di messaggi su rimborsi o problemi con un ordine.
Svezia
- Biglietti dei parchi (27-29 ottobre): rubati nomi, indirizzi, telefoni ed email di migliaia di visitatori di Skansen e Liseberg dal fornitore che vende i biglietti. È lo stesso schema delle prenotazioni: il dato esce dal fornitore, non dall’attrazione.
Europa intera
- Arresti della banda KillSec (1 ottobre): un’operazione coordinata da Eurojust ed Europol, con la partecipazione anche della Svizzera, ha fermato il gruppo responsabile di quasi mille attacchi di estorsione nel mondo. Entravano soprattutto da archivi cloud protetti male, copiavano i dati e chiedevano soldi per non pubblicarli.
E nel resto del mondo?
Le notizie che toccano anche noi.
- Windows (13 ottobre): Microsoft ha corretto una falla già sfruttata che permette a un file ricevuto per email o chat di saltare gli avvisi di sicurezza. Installa gli aggiornamenti di ottobre e riavvia il computer.
- Plex (19 ottobre): il programma per guardare film e serie dal NAS o dal computer di casa è attaccato in massa per far lavorare il computer per altri. La correzione c’è da fine agosto (versione 1.43.3.10861): aggiorna Plex e spegni l’accesso remoto se non ti serve.
- Binance (29 ottobre): il più grande furto di criptovalute della storia, circa 6,3 miliardi di dollari; secondo l’FBI dietro c’è la Corea del Nord. Binance dice che le perdite sono a suo carico. Preparati alle email false «rimborso Binance»: ignorale. L’articolo.
- App false di ChatGPT e Claude (27 ottobre): con i nomi veri dei modelli appena usciti, tra i primi risultati di Google, installano di nascosto un programma che usa il computer per produrre criptovalute. Come riconoscerle.
- Truffe sentimentali e di investimento (13 ottobre): un’operazione di polizie e aziende tecnologiche ha fatto chiudere oltre 3,7 milioni di account, pagine e gruppi su Facebook e Instagram. Se uno sconosciuto conosciuto online dopo qualche settimana ti parla di investimenti, è una truffa.
- Finti portali pubblicitari di ChatGPT, Gemini e Claude (6 ottobre): siti che offrono di «collegare» l’account pubblicitario di Google o di Meta e mostrano una finta finestra di accesso. Rubano password e codici in tempo reale e si prendono gli account pubblicitari delle aziende. Chi gestisce la pubblicità entra solo dall’indirizzo che digita da sé.
- Interpol, operazione in Africa (22 ottobre): 1’462 arresti per truffe online, falsi investimenti e email aziendali falsificate, oltre 105 milioni di dollari recuperati.
- Capcom (22 ottobre): rubati 11,7 milioni di record degli account dei videogiochi, con email e date di accesso. Chi in famiglia gioca ai suoi titoli diffidi di email «Capcom» con link.
- Prenotazioni aeree (resa nota il 30 ottobre): con le credenziali di un account di sistema di Amadeus, il grande fornitore europeo di prenotazioni, qualcuno ha letto per anni prenotazioni di Cathay Pacific, Japan Airlines, ANA e altre compagnie asiatiche.
- Chrome (29 ottobre): nuova versione con 21 correzioni, una critica; nessuna già sfruttata. Riavvia il browser per installarla.
E naturalmente la falla Apple già sfruttata, estesa il 26 ottobre ai vecchi iPhone: L’iPhone è inviolabile? No. E PHP2Shell, la falla del motore di tanti siti: cosa chiedere al tuo hosting.
Microsoft, falla di Windows Shell già sfruttata (in inglese) Plex, aggiornamento di sicurezza importante (in inglese) Meta, operazione contro le reti di truffe (in inglese) Island, la campagna dei finti portali pubblicitari di IA (in inglese) Interpol, 1'462 arresti in Africa (in inglese) Capcom, accesso non autorizzato agli account (in inglese) Google, aggiornamento di Chrome (in inglese)Il Metodo 3V applicato al mese
| Fase | La lezione di ottobre |
|---|---|
| Verifica: chi mi scrive davvero? | Un dato vero (prenotazione, numero AVS, squadra del figlio) non prova niente: a ottobre ne sono stati rubati moltissimi |
| Validazione: me lo conferma chi lo dovrebbe sapere? | Apri tu l’app o il sito, chiama tu il numero che hai già |
| Velocità controllata: quando c’è fretta davvero? | Per segnalare alla banca un pagamento non riconosciuto: subito, il giorno stesso |
Domande frequenti
Cosa è successo di importante in sicurezza informatica a ottobre 2026?
Il tema del mese sono i dati rubati ai fornitori, come i sistemi di prenotazione di hotel e campeggi e il software delle casse pensioni, e poi usati per messaggi falsi con dati veri. In più la falla PHP2Shell, attacchi a comuni e ospedali, una sentenza UE sui rimborsi dopo il phishing e nuove truffe con la carta contactless.
Dopo un phishing la banca deve rimborsarmi?
Per i conti nell'Unione europea, quindi anche in Italia, la Corte di giustizia ha deciso il 15 ottobre 2026 che la banca deve rimborsare entro il giorno lavorativo successivo alla segnalazione, anche se sospetta una colpa grave del cliente, che poi deve dimostrare. Per i conti in Svizzera la sentenza non vale.
Mi è arrivato un messaggio con i dati veri della mia prenotazione: è vero?
Non necessariamente. A ottobre 2026 sono stati rubati i dati delle prenotazioni di hotel e campeggi in Svizzera, Germania, Austria e Belgio. Non pagare né confermare da un link ricevuto su WhatsApp, SMS o email, anche se conosce la tua prenotazione: controlla dal sito o dall'app dove hai prenotato.
La banca mi chiede di appoggiare la carta al telefono: cosa faccio?
Riattacca. È una truffa scoperta nei Paesi Bassi a ottobre 2026: un'app copia i dati della carta contactless e un complice preleva al bancomat. Nessuna banca ti chiede di installare app o di avvicinare la carta al telefono. Richiama la banca al numero sul retro della carta.
Il mese prossimo i dati rubati a ottobre saranno ancora in giro: è adesso che arrivano i messaggi. Scegli oggi una sola abitudine da prendere in famiglia o in azienda, quella del Metodo 3V che ti è più scomoda, e mettila in pratica questa settimana.
