Svizzera e Liechtenstein sotto attacco: account pubblici e registri violati

🛡️ Executive Summary

• Attori ancora sconosciuti hanno sfruttato vulnerabilità SharePoint contro l’amministrazione svizzera, compromettendo circa 200 account utente e tecnici.
• In Liechtenstein è stato violato il registro dei beneficiari effettivi contenente informazioni relative a circa 31.000 società, fondazioni e trust.
• La Svizzera reinstalla i server SharePoint e resetta le credenziali; Vaduz ha isolato il registro e aperto un’indagine sull’accesso abusivo.

Due incidenti cyber colpiscono quasi contemporaneamente infrastrutture pubbliche nel cuore dell’Europa. In Svizzera, un attacco contro i server Microsoft SharePoint dell’amministrazione federale ha portato alla compromissione di circa 200 account, compresi profili utente e tecnici. Nel vicino Liechtenstein, attori ancora sconosciuti sono invece riusciti ad accedere al registro dei beneficiari effettivi, sottraendo informazioni riferite a circa 31.000 società, fondazioni e strutture fiduciarie. Gli episodi hanno vettori differenti, ma mostrano la stessa criticità: piattaforme centrali utilizzate dalla pubblica amministrazione possono diventare punti di accesso privilegiati verso identità, documenti e strutture societarie particolarmente sensibili.

SharePoint compromette circa 200 account della Confederazione svizzera

Il Bundesamt für Informatik und Telekommunikation, l’Ufficio federale dell’informatica e della telecomunicazione svizzero, ha rilevato attività anomala sui propri server SharePoint il 28 luglio 2026. Dopo avere confermato l’incidente, l’amministrazione ha bloccato immediatamente l’accesso a SharePoint da Internet, corretto le vulnerabilità sospettate e avviato l’analisi dei sistemi. Il 31 luglio gli specialisti hanno scoperto che le credenziali di numerosi account erano state compromesse: il bilancio provvisorio indicato nella comunicazione ufficiale del Governo federale svizzero è di circa 200 account, comprendenti sia utenti ordinari sia identità tecniche. L’incidente arriva poche settimane dopo il Patch Tuesday Microsoft di luglio 2026 con centinaia di vulnerabilità corrette e riporta al centro il problema della rapidità con cui le falle dei servizi esposti possono essere trasformate in accessi iniziali. SharePoint rappresenta da tempo una superficie privilegiata: il precedente zero-day CVE-2025-53770 aveva già dimostrato la capacità degli attaccanti di raggiungere server aziendali e governativi prima che gli aggiornamenti fossero distribuiti in modo uniforme. Anche le vulnerabilità critiche individuate in SharePoint e ASP.NET nel 2026 avevano confermato quanto i sistemi di collaborazione on-premise restino delicati quando direttamente raggiungibili dalla rete pubblica.

La vulnerabilità precisa utilizzata in Svizzera resta da identificare

Le autorità svizzere non hanno attribuito pubblicamente l’attacco a una specifica CVE. Il Governo afferma che gli attori, ancora sconosciuti, hanno presumibilmente sfruttato vulnerabilità SharePoint rese note da Microsoft a metà luglio, senza però stabilire quale falla abbia consentito l’intrusione. Questo passaggio è importante perché impedisce di attribuire automaticamente l’incidente a una singola vulnerabilità o a una campagna già conosciuta. La cronologia rende comunque particolarmente rilevante il precedente ecosistema di attacchi contro SharePoint: ToolShell è stato utilizzato contro telecomunicazioni e agenzie governative, mentre Warlock ransomware ha sfruttato SharePoint in campagne internazionali e altre operazioni hanno combinato exploit SharePoint e distribuzione ransomware. L’esperienza maturata con Storm-2603 e le operazioni precedenti a ToolShell mostra inoltre che l’ottenimento di un accesso iniziale a SharePoint può essere soltanto la prima fase di una catena più lunga, con furto di credenziali, persistenza, movimento laterale e successiva monetizzazione dell’accesso. Nel caso svizzero, al momento non esistono elementi pubblici sufficienti per sostenere che queste fasi successive siano effettivamente avvenute.

La Svizzera non rileva per ora un furto ulteriore di documenti

Le analisi condotte dall’Ufficio federale insieme al Bundesamt für Cybersicherheit e a Microsoft non hanno finora individuato evidenze di un’esfiltrazione ulteriore rispetto alle credenziali compromesse. La Confederazione precisa inoltre che sulla piattaforma SharePoint interessata non è consentito archiviare informazioni confidenziali o dati personali particolarmente sensibili. Questo riduce l’impatto potenziale, ma non elimina il rischio associato alla compromissione delle identità: account tecnici e credenziali valide possono infatti rappresentare un punto di partenza per raggiungere altri servizi se ruoli, permessi e autenticazioni non sono adeguatamente segmentati. La questione è centrale nella sicurezza delle infrastrutture pubbliche, come dimostrano le campagne di spionaggio contro governi europei attraverso reti relay e gli attacchi che hanno utilizzato Microsoft 365 nelle operazioni cyber russe. La stessa Svizzera aveva già rafforzato il proprio modello di risposta introducendo la segnalazione obbligatoria degli attacchi cyber alle infrastrutture critiche. In questo caso il BIT ha notificato l’incidente alle autorità competenti e condiviso gli indicatori tecnici attraverso la piattaforma federale destinata agli operatori critici. I server compromessi vengono intanto reinstallati integralmente, mentre l’accesso SharePoint dall’esterno resterà disabilitato fino al completamento delle operazioni.

Liechtenstein perde i dati del registro dei beneficiari effettivi

Pochi giorni prima dell’annuncio svizzero, il Liechtenstein ha rilevato una compromissione del proprio Verzeichnis der wirtschaftlich berechtigten Personen, il registro elettronico attraverso il quale vengono identificate le persone che esercitano il controllo economico su società, fondazioni e strutture fiduciarie. Il sistema è gestito dall’Amt für Justiz e, come spiega la documentazione ufficiale dell’amministrazione del Liechtenstein, nasce per supportare la prevenzione del riciclaggio di denaro, dei reati presupposto e del finanziamento del terrorismo. Attori non identificati hanno ottenuto un accesso illecito al registro tra il 29 e il 30 luglio, riuscendo a recuperare informazioni relative a circa 31.000 entità giuridiche tra aziende, fondazioni e trust. Le autorità non hanno rilevato al momento modifiche o cancellazioni dei dati e il sistema è stato temporaneamente reso indisponibile. Il bersaglio assume un valore superiore a quello di una normale banca dati amministrativa: collegare persone fisiche, nazionalità e strutture societarie può offrire informazioni utilizzabili per intelligence economica, spear phishing, frodi mirate e ricostruzione delle relazioni tra soggetti ad alto patrimonio. Attacchi di questo tipo appartengono alla stessa evoluzione che ha visto gruppi avanzati colpire istituti di ricerca governativi e utilizzare piattaforme cloud legittime come Zoho WorkDrive per operazioni di spionaggio contro governo ed energia.

Il registro espone una mappa del controllo sulle strutture societarie

Il valore informativo della compromissione del Liechtenstein deriva dalla funzione stessa del registro. Il VwbP, operativo secondo l’attuale quadro normativo dal 1° aprile 2021, recepisce gli obblighi derivanti dalla quinta direttiva europea antiriciclaggio e collega le persone economicamente beneficiarie alle strutture giuridiche sulle quali esercitano il controllo. La disciplina ufficiale sull’accesso ai dati del registro prevede procedure specifiche per banche, istituzioni finanziarie, autorità e altri soggetti autorizzati, proprio perché le informazioni non sono equivalenti a quelle di un normale registro pubblico. La compromissione non risulta avere coinvolto direttamente conti bancari o patrimoni finanziari, né sono emerse prove di alterazione delle registrazioni, ma il valore di intelligence rimane elevato. Un attaccante che possieda nomi, date di nascita, nazionalità e collegamenti societari può costruire campagne di social engineering estremamente credibili, identificare dirigenti e fiduciari oppure incrociare queste informazioni con leak precedenti. La protezione delle identità privilegiate è diventata centrale anche nelle campagne contro il cloud, dove l’abuso dei sistemi di recupero password Azure e il furto di sessioni Microsoft 365 attraverso proxy AiTM mostrano come informazioni apparentemente parziali possano essere trasformate in vettori di accesso molto più ampi.

Due incidenti diversi mostrano lo stesso problema per le amministrazioni pubbliche

Svizzera e Liechtenstein non risultano colpiti dalla stessa campagna e non esistono elementi pubblici che colleghino i due episodi. Il punto comune è invece architetturale: entrambi gli incidenti riguardano piattaforme centrali che concentrano informazioni e identità utilizzate dalle amministrazioni pubbliche. Nel caso svizzero, la priorità è ridurre la finestra tra pubblicazione della patch e distribuzione effettiva sui server esposti; nel Liechtenstein, l’incidente impone di verificare come sia stato creato o abusato l’accesso al registro e quali controlli abbiano consentito l’estrazione delle informazioni. La sicurezza delle infrastrutture critiche e la crescente pressione delle operazioni statali contro reti governative mostrano perché i sistemi pubblici debbano essere trattati come infrastrutture ad alto valore anche quando non custodiscono direttamente segreti classificati. La compromissione di 200 account federali e l’accesso alle informazioni di 31.000 strutture societarie dimostrano soprattutto che il perimetro di sicurezza non coincide più con il singolo server: comprende identità, applicazioni collaborative, registri, processi di patching e capacità di individuare rapidamente comportamenti anomali prima che un accesso iniziale si trasformi in una compromissione più profonda.