L'ufficio informatico del governo federale svizzero è stato violato attraverso i propri server SharePoint on-premise. L'Ufficio federale dell'informatica e della telecomunicazione (BIT/FOITT) ha confermato che gli attaccanti hanno sfruttato vulnerabilità di SharePoint per compromettere le credenziali di circa 200 account. È un incidente che, pur avvenendo oltre confine, parla direttamente alla pubblica amministrazione e alle imprese italiane che continuano a gestire SharePoint "in casa".

I fatti

La cronologia ricostruita dalle fonti è netta. Gli specialisti di sicurezza del BIT hanno notato attività insolite sui server SharePoint il 28 luglio. Approfondendo l'analisi, il 31 luglio hanno scoperto che le credenziali di diversi account erano state compromesse. L'agenzia ritiene che gli aggressori abbiano sfruttato vulnerabilità di SharePoint divulgate da Microsoft a metà luglio e corrette con gli aggiornamenti del Patch Tuesday di luglio, senza però rendere pubblico quale falla specifica sia stata usata.

La risposta è stata la manualistica del caso: il BIT ha bloccato l'accesso esterno a SharePoint da Internet, applicato le patch alle vulnerabilità sospette e reimpostato le password degli account colpiti. L'indagine prosegue con il supporto dell'Ufficio federale svizzero per la cybersicurezza e di Microsoft. Al momento non risultano prove di furto di dati oltre alle credenziali compromesse, e nessun gruppo ransomware o di estorsione ha rivendicato l'attacco.

Il contesto è pesante. Le vulnerabilità SharePoint del 2026 sono state una delle catene di attacco più sfruttate dell'anno: diverse falle di esecuzione di codice da remoto sono finite nel catalogo delle vulnerabilità sfruttate (KEV) della CISA e sono state usate in campagne reali contro organizzazioni di ogni tipo. Il caso svizzero conferma un pattern: SharePoint on-premise esposto a Internet è un bersaglio prioritario, e la finestra tra la divulgazione della patch e lo sfruttamento è ormai misurabile in giorni.

Cosa significa per la PA e le aziende italiane

Il punto dolente non è la Svizzera: è l'architettura. SharePoint Server on-premise è ancora molto diffuso nella pubblica amministrazione italiana e in aziende che, per ragioni di sovranità del dato, integrazione o abitudine, non sono passate a SharePoint Online. A differenza della versione cloud — dove è Microsoft ad applicare le patch — nella versione on-premise la responsabilità dell'aggiornamento è interamente dell'ente. Ogni giorno di ritardo tra il rilascio di una correzione e la sua applicazione è un giorno di esposizione, e il caso BIT mostra quanto quel margine si sia ridotto.

C'è poi una lezione sulla rilevazione. Il BIT non è stato salvato da un blocco preventivo perfetto, ma dal fatto che qualcuno stava guardando i log e ha notato attività anomala. Tra il 28 e il 31 luglio il team ha visto, capito e reagito. Per molte amministrazioni italiane, soprattutto enti locali e realtà sanitarie con reparti IT ridotti, è proprio questa capacità di monitoraggio e risposta a mancare: si scopre la violazione settimane dopo, spesso da terzi.

Sul piano normativo, un ente pubblico italiano che gestisce SharePoint on-premise rientra tipicamente tra i soggetti tenuti a rispettare le misure minime di sicurezza ICT e, a seconda della classificazione, gli obblighi derivanti dal recepimento di NIS2, con relative responsabilità in capo agli organi di vertice sulla gestione del rischio. In caso di compromissione di dati personali scatta il GDPR: notifica al Garante Privacy entro 72 ore quando la violazione presenta un rischio per gli interessati, oltre alla segnalazione agli organismi competenti come ACN e CSIRT Italia secondo gli obblighi applicabili. La compromissione di 200 credenziali, anche senza esfiltrazione confermata, è esattamente il tipo di evento che richiede una valutazione formale e non un'archiviazione frettolosa.

Cosa fare subito

  • Applicare senza ritardi le patch di SharePoint, a partire da quelle del Patch Tuesday di luglio 2026 e dalle correzioni per le falle presenti nel catalogo KEV della CISA. Definire una finestra di patching d'emergenza per i sistemi esposti.
  • Ridurre l'esposizione: SharePoint on-premise non dovrebbe essere direttamente raggiungibile da Internet. Mettere il servizio dietro VPN, reverse proxy con autenticazione o accesso condizionato, e segmentare la rete.
  • Cercare segni di compromissione già avvenuta: le vulnerabilità SharePoint di quest'anno permettono in alcuni casi il furto delle chiavi crittografiche del server; dopo la patch va valutata la rotazione delle chiavi (Machine Keys) e la caccia a webshell e persistenza, perché il solo aggiornamento non rimuove un accesso già stabilito.
  • Rigenerare le credenziali potenzialmente esposte e forzare il reset, dando priorità agli account con privilegi elevati; abilitare MFA resistente al phishing sugli accessi amministrativi.
  • Attivare o rafforzare il monitoraggio: log centralizzati, alert su attività anomale su SharePoint e sui controller di dominio, capacità di risposta rapida. Il caso svizzero si è chiuso in giorni proprio perché qualcuno osservava.
  • Preparare il percorso di notifica GDPR/NIS2 prima che serva: sapere chi valuta l'incident, chi decide sulla notifica al Garante e ad ACN/CSIRT, e con quali tempi.

La domanda da porsi non è se il proprio SharePoint on-premise sia stato aggiornato, ma quanto in fretta lo è stato dopo l'ultimo bollettino Microsoft, e se qualcuno si sarebbe accorto di un accesso anomalo. Il BIT una risposta ce l'aveva.