Cosa è successo?
Il gruppo svizzero della difesa RUAG avrebbe pagato un riscatto alla cybergang Akira in seguito a un attacco informatico contro la sua controllata statunitense Mecanex USA. Il furto di dati è avvenuto all'inizio di novembre 2025; l'emittente radiotelevisiva svizzera SRF attribuisce l'intrusione alla controllata statunitense RUAG LLC. Gli autori dell'attacco hanno pubblicato la richiesta di riscatto sul loro sito nel darknet, dichiarando di aver copiato circa 24 GByte di dati.
Il presidente del consiglio di amministrazione di RUAG, Jürg Rötheli, ha ammesso il pagamento nella trasmissione SRF Samstagsrundschau: "Abbiamo pagato, una piccola somma, fortunatamente, e abbiamo riottenuto tutti i dati", ha dichiarato. Le richieste di riscatto ammonterebbero quindi a importi nell'ordine delle basse sei cifre.
I dettagli
Secondo quanto dichiarato dagli aggressori, i dati sottratti includevano numeri di previdenza sociale, documenti d'identità, patenti di guida, numeri di telefono, indirizzi e altre informazioni personali dei dipendenti. Sarebbero inoltre coinvolte anche informazioni militari riservate, nonché contratti e manuali per la gestione di esplosivi.
Rötheli ha spiegato che il pagamento del riscatto era stato concordato internamente, con gli organi interni dell'azienda. Inoltre, è stata effettuata una consulenza con esperti legali statunitensi. Il Ministero della Difesa svizzero VBS (Dipartimento federale della difesa, della protezione della popolazione e dello sport) non ha voluto commentare il pagamento, ma ha dichiarato di non essere stato informato in anticipo.
La cybergang Akira utilizza un proprio ransomware e continua a cifrare i dati delle vittime, invece di limitarsi – come fanno molti altri gruppi – al solo furto di dati e all'estorsione tramite minaccia di pubblicazione. Il gruppo si è fatto notare da ultimo alla fine del 2025, quando ha inserito il proprio ransomware su firewall SonicWall nonostante l'autenticazione a più fattori attivata. Da allora Akira sembra concentrarsi maggiormente su aziende più piccole e agire in modo meno appariscente.
Analisi
Il caso contraddice la raccomandazione diffusa da parte degli esperti di sicurezza informatica, nonché delle autorità svizzere per la cybersicurezza, di non pagare il riscatto in casi simili. Anche in Germania le autorità competenti sconsigliano vivamente questa pratica. Già nel 2022 esperti di sicurezza informatica provenienti dal mondo accademico e imprenditoriale avevano richiesto, in una lettera aperta, misure concrete contro i pagamenti di riscatto da parte delle vittime – una lettera che all'epoca aveva ricevuto grande attenzione.
Il consigliere nazionale dell'UDC e imprenditore IT Mauro Tuena ha dichiarato alla SRF che il gruppo Akira ora sa che la Confederazione svizzera è disposta a pagare un riscatto – un segnale, a suo avviso, devastante. RUAG ha replicato che la decisione era stata corretta, poiché tutti i dati sono stati recuperati e i danni sono stati minimizzati.
Questa contraddizione tra la raccomandazione ufficiale e il comportamento effettivo di un'azienda federale evidenzia il dilemma in cui si trovano le vittime di tali attacchi: da un lato, non si vuole rafforzare il modello di business degli estorsori attraverso i pagamenti, dall'altro le aziende sono sotto notevole pressione affinché dati sensibili – in particolare quelli con riferimento a informazioni militari – non vengano resi pubblici.
Consigli pratici
- Le aziende dovrebbero, indipendentemente dalla situazione di pressione acuta, confrontarsi in anticipo con le raccomandazioni ufficiali delle autorità di cybersicurezza e definire processi decisionali interni per i casi di emergenza.
- Un coinvolgimento tempestivo degli organi di controllo e – come avvenuto nel caso RUAG – della consulenza legale può aiutare a documentare in modo tracciabile le decisioni prese in situazioni di crisi.
- In particolare le aziende con dati sensibili o rilevanti per la sicurezza dovrebbero verificare in che misura le misure di sicurezza preliminari, come l'autenticazione a più fattori, siano sufficientemente rafforzate – il caso dei firewall SonicWall dimostra che Akira è in grado di aggirare anche meccanismi di protezione consolidati.
- Una comunicazione trasparente con gli enti sovraordinati, come ministeri o autorità di vigilanza, dovrebbe essere garantita anche nei percorsi decisionali interni, per evitare perdite di fiducia come nel caso del VBS non informato.
Prospettive
Il caso RUAG dovrebbe riaccendere il dibattito sulla gestione delle richieste di riscatto, soprattutto trattandosi di un'azienda legata alla Confederazione svizzera. La dichiarazione del consigliere nazionale Tuena, secondo cui Akira ora sa che la Confederazione è disposta a pagare, suggerisce che attacchi simili contro istituzioni statali o rilevanti per la sicurezza potrebbero diventare in futuro meno improbabili.
Allo stesso tempo, il comportamento del gruppo Akira, che ultimamente ha preso di mira sempre più aziende di dimensioni minori, dimostra che la situazione di minaccia per organizzazioni di diverse dimensioni continua ad aggravarsi. Al momento non sono ancora note ulteriori possibili conseguenze per RUAG o eventuali reazioni da parte delle autorità.
