Violazione dei server SharePoint del governo svizzero: coinvolti circa 200 account

Il governo svizzero ha annunciato una violazione dei server SharePoint gestiti dall’Ufficio federale per l’informatica e la telecomunicazione (BIT), con circa 200 account compromessi. Dopo la scoperta dell’incidente, le autorità hanno provveduto a disconnettere alcuni server dall’accesso esterno e hanno avviato un’indagine formale.

Le anomalie sono state rilevate il 28 luglio 2026, e il 31 luglio è stato confermato che gli aggressori avevano avuto accesso a dati di circa 200 account, sia utente sia tecnici. Attualmente, l’indagine è in corso con il supporto di Microsoft, ma l’identità degli autori rimane sconosciuta e i dati sottratti non risultano pubblicati sul dark web. Non ci sono notizie di richieste di riscatto.

Il BIT non ha ancora identificato con certezza il vettore di accesso iniziale, ma sospetta che possa essere stato sfruttato un insieme di vulnerabilità di SharePoint, corrette da Microsoft a metà luglio. Tra queste vulnerabilità vi sono la CVE-2026-56164, che riguarda l’escalation di privilegi e risulta attivamente sfruttata, e la CVE-2026-50522, una criticità di esecuzione remota che potrebbe aver consentito agli aggressori di sottrarre chiavi macchina e mantenere l’accesso anche dopo l’applicazione delle patch.

Le autorità hanno sottolineato che sulla piattaforma SharePoint non dovrebbero essere conservate informazioni confidenziali o particolarmente sensibili. Sulla base delle informazioni attualmente disponibili, non si ritiene che siano stati esposti dati riservati. Questo episodio evidenzia come SharePoint, data la sua ampia diffusione tra le organizzazioni, continui a rappresentare un obiettivo significativo per i criminali informatici.