“Mia figlia gioca a basket da tre anni, chi vuoi che si interessi ai suoi dati?” Nessuno si interessa a lei in particolare. Si interessano a decine di migliaia di nomi, date di nascita e numeri di telefono veri, tutti insieme, per scrivere messaggi che sembrano arrivare dal club. Pochi giorni fa è toccato all’hockey, ora al basket.

Cosa è successo a Swiss Basketball?

Il 30 ottobre un utente di un forum di hacker ha sostenuto di essere entrato in un extranet della federazione e di averne esportato i dati. Il 31 ottobre Swiss Basketball ha confermato un incidente che riguarda i dati personali dei suoi tesserati gestiti con Basketplan, la piattaforma con cui sono gestiti i dati dei tesserati.

La federazione scrive che:

  • l’incidente è avvenuto nonostante misure in più già introdotte, come la verifica in due passaggi;
  • password, dati bancari e foto non sono stati rubati;
  • origine e portata non sono ancora chiare, e ci sta lavorando con i fornitori informatici e le autorità;
  • il furto è stato comunicato all’Ufficio federale della cibersicurezza (UFCS);
  • i tesserati devono diffidare di messaggi sospetti, soprattutto se chiedono dati personali o contengono link insoliti.
Swiss Basketball, informazioni per i tesserati (in francese)

Arriva pochi giorni dopo il furto alla Federazione svizzera di hockey su ghiaccio, che abbiamo raccontato in Dati della federazione di hockey in vendita, anche quelli dei bambini. Nessuna fonte collega i due casi allo stesso autore.

20 minutes, dopo l'hockey anche il basket svizzero vittima di un attacco informatico (in francese)

Quali dati ci sono nei file, e quanti sono i ragazzi?

La federazione non ha detto quali dati e di quante persone. Lo hanno stimato due siti che hanno esaminato i file pubblicati dall’hacker: French Breaches, riportato da inside-it, e cyberattaque.org. Secondo le loro analisi:

  • 52’344 schede di licenza di due stagioni (2025-26 e 2026-27), pari a circa 34’000 tesserati diversi, con nomi, date di nascita, indirizzi, e-mail e, per una parte, numeri di telefono;
  • circa 21’000 tesserati diversi sono minorenni;
  • il numero AVS compare solo in una parte delle schede: circa 3’900 numeri diversi. Le fonti non dicono se siano di ragazzi o di adulti;
  • file separati su circa 5’700 allenatori e 1’500 arbitri e ufficiali di gara, e oltre 35’000 registrazioni contabili delle licenze, senza IBAN né numeri di carta.

French Breaches conta 21’648 voci con una data di nascita di minorenni, che non sono per forza altrettanti ragazzi diversi. Al momento non si conoscono abusi dei dati.

↳ Fonte: inside-it, fuga di dati a Swiss Basketball (in tedesco)[inside-it.ch]
cyberattaque.org, analisi dei file di Swiss Basketball (in francese)

Sono numeri di un’analisi esterna, non della federazione. Ma bastano per una conclusione pratica: se tuo figlio ha una licenza, conviene comportarsi come se i suoi dati fossero fra quelli usciti.

Cosa possono farci i truffatori con i dati di mio figlio?

Usarli per sembrare credibili. Con nome, data di nascita, indirizzo e telefono nessuno entra nel tuo conto. Ma può scriverti un messaggio che sembra arrivare da chi conosce davvero tuo figlio, e convincerti a dargli quello che gli manca: soldi, una password, un codice. I rischi più probabili:

  • messaggi «dal club» o «dalla federazione» che chiedono di pagare la quota, il rinnovo della licenza, una trasferta o un torneo, con un link o un IBAN nuovo;
  • richieste di «aggiornare i dati» della licenza da un link, che portano a una pagina falsa dove inserire password o dati della carta;
  • messaggi ai ragazzi sul telefono, da un finto allenatore o da un finto osservatore di un altro club, che conosce squadra e data di nascita e chiede di cliccare un link, mandare foto o un codice ricevuto per SMS;
  • in futuro, l’uso di nome, data di nascita e indirizzo per presentarsi a nome tuo o di tuo figlio, per esempio in un acquisto online o in una richiesta a un’azienda.

Cosa si può fare con il numero AVS di qualcuno?

Meno di quanto fa paura, ma è un dato da non regalare. Il numero AVS è il numero di 13 cifre che inizia con 756: lo trovi anche sulla tessera della cassa malati. Le fonti ufficiali dicono tre cose utili:

  • non contiene informazioni sulla persona: le cifre sono scelte a caso, non dicono età, sesso o luogo di nascita;
  • è un numero che identifica, non una password: serve agli uffici per sapere di chi si parla senza confondere due persone con lo stesso nome;
  • non cambia per tutta la vita, nemmeno dopo un matrimonio. A differenza di una password, quindi, non lo puoi sostituire dopo una fuga di dati.

Inoltre, conservarlo e usarlo in modo sistematico nei propri archivi è permesso solo alle autorità e agli enti che la legge autorizza, con regole di protezione precise.

Ufficio federale delle assicurazioni sociali (UFAS), il numero AVS Ufficio centrale di compensazione (UCC), il numero AVS

In pratica: se il numero AVS di tuo figlio era registrato nella licenza, chi lo ha ha un dato in più per sembrare un ufficio («la cassa malati», «l’AVS», «la federazione») e per rendere credibile un messaggio. Non ha una chiave per entrare da nessuna parte. Per questo la regola è semplice: il numero AVS non si detta mai a chi ti chiama o ti scrive, e il fatto che qualcuno lo conosca già non prova che sia un ufficio vero.

Perché la verifica in due passaggi non è bastata?

Non si sa ancora. La verifica in due passaggi protegge l’ingresso con password, ma può essere aggirata, e i dati possono uscire anche da altre strade. La verifica in due passaggi è il codice in più che ricevi per SMS o in un’app quando entri in un account: anche chi ruba la password non entra senza quel codice. È utile, e va tenuta attiva.

Ma è una serratura sulla porta d’ingresso. Non serve se i dati escono da un’altra strada: un difetto nel programma, un accesso già aperto, un fornitore esterno, una funzione di esportazione lasciata troppo aperta. La federazione non ha detto da dove sono usciti i dati, e qui non lo indoviniamo. La lezione per noi è un’altra: la sicurezza dei dati di tuo figlio dipende anche da chi li conserva, e tu non la controlli. Quello che controlli è come reagisci ai messaggi che arrivano dopo.

Se vuoi capire quale verifica in due passaggi scegliere per i tuoi account, lo spieghiamo in Verifica in due passaggi: SMS, app o chiave?.

Cosa faccio adesso come genitore?

  1. Cambia la password di Basketplan, se ne hai una: secondo la federazione le password non sono state rubate, ma le cause non sono ancora chiare e cambiarla non costa nulla. Se usi la stessa password anche altrove, cambiala anche lì.
  2. Per qualche mese, diffida di ogni richiesta di soldi o di dati che arriva «dal club» o «dalla federazione», soprattutto se c’è un link o un IBAN nuovo. Verifica chiamando l’allenatore o la segreteria al numero che hai già, oppure chiedilo di persona al prossimo allenamento.
  3. Parla con tuo figlio, se ha un telefono: se qualcuno gli scrive citando la squadra e gli chiede foto, codici o di cliccare un link, deve dirtelo prima di rispondere. Non è colpa sua se lo contattano: i dati li ha dati la famiglia per iscriverlo.
  4. Non dare mai il numero AVS, password o codici a chi ti chiama o ti scrive, nemmeno se dice di essere della federazione, della cassa malati o di un ufficio.
  5. Se ricevi fatture o solleciti per acquisti che non hai fatto, a tuo nome o a nome di tuo figlio, non ignorarli: contesta per iscritto con l’azienda e sporgi denuncia alla polizia cantonale.
  6. Controlla la tua e-mail su passwordrubata.com: ti dice gratis se il tuo indirizzo compare in violazioni di dati note. Basta l’indirizzo, nessuna password.

Contro le telefonate che parlano di un figlio in difficoltà vale il consiglio dell’articolo sull’hockey: una parola d’ordine di famiglia, concordata a voce e mai scritta.

Dove segnalo un messaggio sospetto?

In Svizzera all’UFCS, con il modulo online: bastano pochi minuti e non serve essere esperti. Se hai perso soldi o dato dati della carta, chiama subito la banca (al numero sul retro della carta o, per le banche solo online, con la chat nell’app) e sporgi denuncia alla polizia cantonale. Se non usi internet, basta la polizia.

In Italia, se vivi oltre confine e ricevi un tentativo, la segnalazione va alla Polizia Postale su commissariatodips.it.

Per domande sui tuoi dati, usa i contatti del comunicato ufficiale e del sito di Swiss Basketball, o il tuo club: mai indirizzi o numeri ricevuti in messaggi successivi.

Sono un club: cosa scrivo alle famiglie?

Un messaggio breve, che dica cosa il club non chiede mai. Puoi girarlo così com’è, adattando il nome:

«Care famiglie, Swiss Basketball ha confermato un furto di dati dei tesserati. Per sicurezza: il nostro club non vi chiederà mai di pagare quote o trasferte da un link ricevuto per WhatsApp, SMS o e-mail, né di cambiare IBAN, né di mandare il numero AVS o codici. Se ricevete una richiesta così, anche se cita il nome di vostro figlio, chiamateci al numero che conoscete prima di fare qualsiasi cosa.»

Dopo, conviene controllare chi nel club ha accesso ai dati dei tesserati e togliere gli accessi a chi non ne ha più bisogno, come gli allenatori che hanno lasciato la squadra.

Domande frequenti

Come faccio a sapere se i dati di mio figlio sono fra quelli rubati?

Per ora non si può sapere con certezza: la federazione dice che origine e portata dell'incidente non sono ancora chiare e non ha pubblicato un elenco. Se tuo figlio ha una licenza di Swiss Basketball, la scelta prudente è comportarsi come se i suoi dati fossero usciti e verificare ogni richiesta di soldi chiamando il club.

Con il numero AVS possono rubare soldi o aprire qualcosa a nome di mio figlio?

Il numero AVS non è una password né un codice d'accesso: serve agli uffici per identificare una persona e non contiene informazioni su di lei. Il rischio è che un truffatore lo citi per sembrare un ufficio vero. Non dettarlo mai a chi ti chiama, e ricorda che non si può cambiare: resta lo stesso per tutta la vita.

Il club mi ha scritto per pagare la quota: come capisco se è vero?

Chiama l'allenatore o la segreteria al numero che avevi già, non a quello del messaggio, oppure chiedilo di persona al prossimo allenamento. Diffida in particolare se il messaggio contiene un link per pagare, un IBAN diverso dal solito o una scadenza molto vicina.

Mio figlio è maggiorenne e ha la licenza da adulto: cambia qualcosa?

No: secondo le analisi dei file, fra i dati usciti ci sono anche tesserati adulti, allenatori e arbitri. Valgono le stesse regole: niente pagamenti da link, niente numero AVS o codici al telefono, verifica sempre chiamando tu il club.

Due federazioni sportive in una settimana: chi ha figli che fanno sport in un club ha dato i suoi dati a più di un archivio, e non può controllarli tutti. Può però decidere oggi, in famiglia, che nessuna richiesta di soldi «dal club» si paga senza una telefonata. Se vuoi un passo in più, leggi I miei dati sono nel dark web: come controllare e cosa fare.