Pagamenti ransomware in Svizzera: chi paga, chi rifiuta – e cosa significa per la vostra organizzazione

Il 54% delle aziende svizzere colpite da ransomware paga il riscatto, più della metà e sopra la media globale del 50%, come mostra il rapporto «State of Ransomware 2025» di Sophos. Ma quasi nessuno di questi pagamenti diventa pubblico, e le storie che conosciamo raccontano solo la punta dell’iceberg di una realtà molto più ampia.

Chi ha pagato

In Svizzera le organizzazioni che ammettono pubblicamente di aver pagato un riscatto si contano sulle dita di una mano.

RUAG (2025). Nell’autunno 2025 il gruppo ransomware Akira ha colpito RUAG LLC, la filiale statunitense del gruppo federale svizzero della difesa, cifrando 24 GB di dati: numeri di previdenza sociale, documenti d’identità, patenti e informazioni personali dei dipendenti. RUAG ha pagato una cifra «a sei cifre bassa» secondo il presidente del CdA Jürg Röthlisberger, che ha dichiarato di aver ricevuto tutti i dati indietro. Il BACS sconsiglia esplicitamente il pagamento e il Dipartimento della difesa (VBS) ha dichiarato di non essere stato nemmeno informato prima della transazione. Un’indagine interna ha concluso che RUAG non ha violato leggi, ma l’ottica di un contractor della difesa che paga criminali informatici non è esattamente un bel biglietto da visita.

Comparis (2021). Il 7 luglio 2021 il gruppo ransomware Grief ha paralizzato Comparis, la nota piattaforma di confronto. Prima reazione dell’azienda: «Non abbiamo pagato nulla». Tre settimane dopo la verità era un’altra, perché sì, avevano pagato. La richiesta iniziale era di 400’000 dollari in criptovaluta, e non è chiaro se l’importo integrale sia stato versato. Comparis ha giustificato la decisione con la necessità di recuperare «file operativamente essenziali» che non potevano essere ripristinati altrimenti, e il pagamento è stato coordinato con la polizia cantonale di Zurigo.

La maggioranza silenziosa. Il sondaggio Sophos rivela che il 54% delle aziende svizzere paga, ma il 65% di chi paga negozia con successo e ottiene riduzioni medie di ca. un quarto rispetto alla richiesta iniziale. Le aziende svizzere pagano più spesso della media globale ma negoziano decisamente meglio (tipicamente svizzero, si potrebbe dire).

Chi ha rifiutato

I casi di rifiuto sono più numerosi, e chi rifiuta subisce quasi sempre la pubblicazione dei dati rubati ma generalmente recupera l’operatività e esce dalla vicenda con più credibilità.

Stadler Rail (luglio 2026). 12,3 milioni di dollari, circa 10 milioni di franchi: questa la richiesta del gruppo Everest dopo aver compromesso un fornitore esterno di Stadler Rail. La risposta è stata un secco no con denuncia penale, e Everest ha pubblicato un archivio FTP di 201 GB con oltre 271’000 file tra documentazione tecnica, dati di configurazione e registrazioni di videosorveglianza. Ma la violazione era avvenuta tramite la piattaforma di file sharing di un fornitore e non i sistemi IT di Stadler, per cui la produzione non si è mai fermata e i dati pubblicati sono stati classificati come non rilevanti per la sicurezza.

Bernina International (aprile 2023). Questa è la storia che racconto sempre durante le consulenze perché è troppo bella per non condividerla. ALPHV/BlackCat colpisce il produttore di macchine da cucire turgoviese con una richiesta di 1,3 milioni di dollari, e la risposta di Bernina è stata mandare 10 dollari, come provocazione deliberata per guadagnare tempo mentre il team lavorava al ripristino dei sistemi. Gli attaccanti avevano rubato oltre 200 GB di dati (415’000 file), cifrato più di 30 volumi e cancellato i backup su nastro e NAS, eppure Bernina ha recuperato l’operatività ai livelli pre-attacco con eccezioni minime. Dieci dollari ben spesi.

Xplain (maggio 2023). Probabilmente il caso più grave nella storia recente della Confederazione. Il gruppo Play ha colpito il fornitore IT governativo Xplain che ha rifiutato di pagare in consultazione con le forze dell’ordine e il NCSC (ora BACS), dopodiché Play ha pubblicato ca. 900 GB di dati rubati nel Darknet. Oltre 9’000 oggetti dell’amministrazione federale esposti, più della metà con informazioni sensibili tra cui dati di fedpol e dell’Amministrazione federale delle dogane. L’Incaricato federale della protezione dei dati ha riscontrato errori sia presso la Confederazione che presso Xplain.

NZZ e CH Media (marzo 2023). Sempre Play, nessun riscatto pagato, e Play ha pubblicato ca. 500 GB di dati rubati tra cui elenchi salariali e informazioni sui dipendenti. Per diversi giorni le edizioni digitali e cartacee sono apparse in formato ridotto, un effetto notevole considerando che si tratta del più grande quotidiano di qualità della Svizzera.

Comune di Rolle (maggio 2021). Vice Society ha colpito il comune vodese e pubblicato 32 GB di dati sensibili riguardanti ca. 5’000 residenti, circa 4’000 file e 65 caselle email dei dipendenti. Il comune è stato criticato non tanto per il rifiuto di pagare quanto per aver aspettato quasi un mese prima di comunicare pubblicamente l’attacco…

Groupe 3R (2025 e 2026). La rete romanda di centri di diagnostica per immagini è stata colpita due volte in un anno (aprile 2025 e di nuovo aprile 2026), entrambe le volte ha rifiutato di pagare e sporto denuncia penale. Alcuni esami sono stati riprogrammati ma dal secondo attacco nessun dato risulta pubblicato. Due volte in dodici mesi dimostra anche che il rifiuto di pagare da solo non previene attacchi futuri.

Situazione legale

Pagare un riscatto ransomware non è esplicitamente illegale in Svizzera perché il Codice penale non contiene una norma specifica che vieti il pagamento, ma legalità formale non significa che sia tutto semplice dal punto di vista giuridico. Il pagamento può creare rischi indiretti attraverso l’Art. 260ter CP (sostegno a un’organizzazione criminale), l’Art. 260quinquies CP (finanziamento del terrorismo), l’Art. 305 CP (favoreggiamento) e l’Art. 305bis CP (riciclaggio di denaro). In pratica la vittima diretta viene perseguita quasi mai perché l’intento criminale necessario di solito manca, ma le implicazioni per il consiglio d’amministrazione sono reali dato che la decisione di pagare un riscatto rientra nel dovere di diligenza (Sorgfaltspflicht), e una decisione documentata male o analizzata in fretta può esporre i membri del CdA a responsabilità personali.

La Svizzera ha aderito nel novembre 2023 alla Counter Ransomware Initiative (CRI) con cui 50 stati si sono impegnati a non pagare riscatti con fondi governativi, ma si tratta di un impegno politico, non vincolante, che non riguarda il settore privato. Un divieto assoluto come quello annunciato dal Regno Unito per il settore pubblico e le infrastrutture critiche non è in discussione in Svizzera.

Cosa dicono le autorità

La posizione del BACS è chiara e non è mai cambiata: non pagare. Il pagamento finanzia i criminali, non offre garanzie sul recupero dei dati e può trasformare l’organizzazione in un bersaglio fisso, per cui la raccomandazione è di sporgere sempre denuncia penale e segnalare l’incidente.

Dal 1° aprile 2025 non è più solo una raccomandazione, perché gli operatori di infrastrutture critiche (fornitori di energia e acqua, trasporti, ospedali, provider cloud, data center, amministrazioni cantonali e comunali) sono obbligati a segnalare gli attacchi informatici al BACS entro 24 ore. Dal 1° ottobre 2025 la mancata segnalazione costa fino a 100’000 franchi di multa, e in parallelo la nuova Legge sulla protezione dei dati (nLPD, in vigore dal 1° settembre 2023) impone la notifica delle violazioni all’IFPDT «il più rapidamente possibile» quando c’è un rischio elevato per le persone coinvolte.

Assicurazione

Il panorama svizzero delle cyber-assicurazioni è frammentato:

  • AXA Svizzera: copertura del riscatto disponibile come modulo aggiuntivo su richiesta del cliente
  • Baloise: sconsiglia il pagamento, lo considera l’«estrema ultima misura»
  • Mobiliar: esclude esplicitamente la copertura del riscatto
  • Zurich: copre gli attacchi ransomware con dettagli variabili per polizza

La maggior parte delle polizze copre comunque le spese operative come IT forensics, recupero dati, perdite da interruzione dell’attività e responsabilità civile per violazioni dei dati, ma la copertura decade se il pagamento viola sanzioni internazionali o normative vigenti.

I numeri

I dati del BACS mostrano il trend:

  • Primo semestre 2024: 44 incidenti
  • Secondo semestre 2024: 47 incidenti
  • Primo semestre 2025: 57 incidenti
  • Secondo semestre 2025: 79 incidenti (+59%)
  • Primo semestre 2026: 72 incidenti

Il gruppo più attivo in Svizzera è Akira, con circa 200 aziende svizzere prese di mira in 18 mesi e danni nell’ordine di diversi milioni di franchi. Il Ministero pubblico della Confederazione ha aperto un procedimento penale nell’aprile 2024. Poi ci sono Play (Xplain, NZZ), Sarcoma (Radix Health Foundation) e ALPHV/BlackCat (Bernina, Swissport), e i costi medi di recupero secondo Sophos si aggirano intorno al milione di dollari.

Pagare o no

Quando i sistemi sono cifrati e i backup distrutti la domanda arriva con una scadenza di cinque, sette giorni al massimo, e chi non ci ha pensato prima si trova a improvvisare sotto pressione, che non produce mai buone decisioni.

Contro il pagamento: finanzia direttamente le attività criminali, non offre nessuna garanzia che il decryptor funzioni o che i dati rubati vengano cancellati, segnala agli aggressori che l’organizzazione è disposta a pagare (il che significa che ritorneranno), comporta rischi legali indiretti e può esporre i membri del CdA a responsabilità personale.

A favore (in situazioni estreme): quando i backup sono completamente distrutti il pagamento può offrire un recupero più rapido, e quando i dati in gioco (cartelle cliniche, proprietà intellettuale critica) avrebbero conseguenze irreversibili se persi la tentazione diventa concreta.

Ma il punto di fondo è semplice: avete backup offline e immutabili? Se sì la questione del pagamento perde urgenza, se no il momento per crearli è adesso. Ogni organizzazione dovrebbe avere un piano di risposta a incidenti documentato e testato prima di un attacco, con criteri decisionali chiari, ruoli definiti, consulenti legali pre-identificati e specialisti di incident response con contratti già in essere.

Prevenzione

La miglior risposta alla domanda «pagare o no?» è non doverla mai porre.

Backup offline e immutabili (regola 3-2-1). Tre copie dei dati, su due supporti diversi, con una copia offline e fisicamente separata. I backup collegati alla rete non sono backup ma bersagli, perché Gunra, Akira e praticamente ogni gruppo ransomware serio distrugge sistematicamente i backup prima di cifrare. Testateli regolarmente: un backup che non avete mai ripristinato è una speranza, non un piano.

Segmentazione della rete. Nei nostri penetration test vediamo sempre la stessa cosa, ovvero un singolo punto d’ingresso che diventa accesso all’intera rete. Il movimento laterale via SMB e la compromissione di Active Directory sono centrali nella catena di attacco di quasi tutti i gruppi documentati in Svizzera, e la segmentazione limita i danni.

Autenticazione multifattore (MFA) su tutti i punti di accesso remoto: VPN, interfacce di gestione, servizi cloud. L’assenza di MFA sui gateway VPN è stato il vettore d’ingresso più documentato negli incidenti svizzeri.

Patch management. I casi Gunra (Fortinet CVE), BIT (SharePoint CVE) e numerosi altri mostrano che gli aggressori sfruttano vulnerabilità note con patch disponibili, e il tempo tra divulgazione e sfruttamento si misura ormai in giorni e non più in settimane.

Formazione dei dipendenti. Il phishing resta il vettore di accesso iniziale più comune, e no, la formazione annuale obbligatoria che nessuno prende sul serio non conta: servono simulazioni regolari e realistiche.

Test del piano di risposta a incidenti. Un piano che esiste solo su carta non funziona sotto pressione, e le tabletop exercise regolari (per es. lo scenario «venerdì sera, backup distrutti, dati esfiltrati, richiesta di riscatto con scadenza a 5 giorni») mostrano rapidamente dove si nascondono le vere lacune.

Se volete sapere quanto è preparata la vostra organizzazione possiamo aiutarvi a scoprirlo, dalla verifica dell’infrastruttura di backup ai penetration test, dalla segmentazione di rete al piano di incident response. Scriveteci e ne parliamo.

Fonti:

Autor: Andriu Isenring CISSP