Il 28 luglio 2026 i tecnici della sicurezza del Federal Office for Information Technology and Telecommunication (BIT/FOITT) hanno rilevato attività anomale sui server SharePoint dell'amministrazione federale svizzera. Tre giorni dopo, il 31 luglio, è stata confermata la compromissione di circa 200 account, sia utente che tecnici. L'incidente non riguarda una vulnerabilità zero-day: le falle erano già state corrette da Microsoft nel bollettino di luglio, ma l'intervallo tra disponibilità della patch e applicazione è risultato sufficiente agli attaccanti per ottenere persistenza.
- Circa 200 account utente e tecnici compromessi nei server SharePoint del BIT/FOITT, rilevati il 28 luglio e confermati il 31 luglio 2026.
- Le vulnerabilità sfruttate erano state divulgate da Microsoft a metà luglio e corrette nel Patch Tuesday dello stesso mese: non si tratta di zero-day.
- Il BIT sta reinstallando i server compromessi come precauzione e mantiene bloccato l'accesso esterno fino al completamento dei lavori.
- L'agenzia non ha rilevato prove di dati trafugati oltre alle credenziali di accesso, e la piattaforma colpita non ospitava dati personali sensibili o riservati.
La sequenza dell'intrusione: rilevamento tardivo, risposta radicale
La catena di eventi è documentata nella dichiarazione ufficiale del BIT, diffusa dalla fonte citata. Il 28 luglio gli specialisti della sicurezza hanno notato attività insuale sui server SharePoint. Il 31 luglio, secondo quanto riportato dalla stessa fonte, è emerso che le credenziali di accesso di circa 200 account erano state compromise. L'agenzia ha immediatamente reimpostato le password di tutti gli account interessati e ha bloccato l'accesso esterno a Internet per la piattaforma SharePoint.
La risposta non si è limitata alla rotazione delle credenziali. Il BIT sta reinstallando i server compromessi come misura precauzionale, un'indicazione della gravità percepita dell'incidente. L'accesso esterno rimane interrotto fino al completamento di questa operazione. Gli utenti stanno utilizzando metodi alternativi per la condivisione dei documenti, secondo quanto riportato da TechRadar.
Il gap tra patch disponibile e patch applicata
Il nucleo tecnico dell'incidente risiede nella natura delle vulnerabilità sfruttate. Il BIT ritiene che gli attaccanti abbiano sfruttato falle in SharePoint divulgate da Microsoft a metà luglio e corrette nel Patch Tuesday di luglio 2026. Microsoft ha confermato che CVE-2026-56164, una vulnerabilità di privilege escalation con CVSS 5.3 (MEDIUM), è oggetto di exploitation attiva, secondo il Microsoft Security Response Center. Il vettore di attacco è remoto, con complessità bassa, e non richiede privilegi preesistenti né interazione utente.
Una seconda vulnerabilità, CVE-2026-50522, è descritta come RCE critica con exploitation documentata per il furto di machine key, che consirebbe accesso persistente anche dopo l'applicazione della patch. Tuttavia, né il BIT né Microsoft hanno confermato quale delle due falle, o entrambe, sia stata sfruttata nell'incidente svizzero. Il dossier non specifica se i machine key siano stati effettivamente rubati in questo caso.
"Patching closes the door; it doesn't change the locks" — analisi di Security Affairs, citata nel contesto dell'incidente.
Supporto investigativo e condivisione di indicatori
L'indagine è supportata dal Federal Office for Cybersecurity (BACS/NCSC) e da Microsoft. Il BIT ha segnalato l'incidente al BACS e alla State Secretariat for Security Policy in applicazione dell'Information Security Act. I tecnici hanno condiviso indicatori tecnici con gli operatori delle infrastrutture critiche attraverso la piattaforma BACS.
Nonostante la collaborazione, non sono emersi elementi che consentano l'attribuzione dell'attacco. Il BIT descrive gli attaccanti come "previously unknown actors" (attori precedentemente sconosciuti). Nessun gruppo ransomware o di estorsione ha rivendicato l'incidente. Il dossier non documenta movimenti laterali confermati prima del rilevamento, né la natura esatta dei dati eventualmente accessi oltre alle credenziali.
Il contesto operativo: dimensione e pressione sul FOITT
L'incidente colpisce un'agenzia che gestisce un'infrastruttura IT considerevole: circa 50.000 sistemi workstation e oltre 1.000 applicazioni specialistiche, secondo quanto riportato da Security Affairs. Il BIT opera in un contesto di pressione crescente: nel 2025 il NCSC ha registrato 28 attacchi informatici contro l'amministrazione federale e 325 incidenti relativi alle infrastrutture critiche.
A livello globale, circa 1.500 server SharePoint on-premises rimangono esposti su Internet, secondo rilevamenti Censys citati da Help Net Security nel contesto di CVE-2026-50522. Questa superficie di attacco, combinata con l'exploitation attiva di vulnerabilità SharePoint, rende la piattaforma un obiettivo ricorrente per attori che puntano all'accesso persistente alle reti aziendali e governative.
Cosa fare adesso
- Verificare lo stato di applicazione delle patch del Patch Tuesday di luglio 2026 su tutte le istanze SharePoint on-premises, con priorità per i sistemi esposti a Internet.
- Ruotare le credenziali di tutti gli account con accesso ai server SharePoint compromessi o potenzialmente esposti, inclusi i service account tecnici.
- Valutare la rotazione dei machine key SharePoint dove tecnicamente applicabile, data la possibilità documentata di furto per persistenza post-patch.
- Rivedere i log di accesso ai server SharePoint nel periodo 15-31 luglio 2026 alla ricerca di anomalie di autenticazione o esecuzione di codice non autorizzata.
Perché l'incidente svizzero cambia il calcolo sul patching
Il caso del BIT/FOITT disarticola la narrazione secondo cui la tempestività del patching sia sufficiente a contenere il rischio. Le patch erano disponibili, ma l'applicazione non è avvenuta prima che gli attaccanti ottenessero credenziali valide. La risposta dell'agenzia — reinstallazione dei server, non semplice applicazione di update — indica che il danno strutturale della compromissione precede la disponibilità della correzione.
Per gli amministratori di SharePoint, l'insegnamento è operativo e contro-intuitivo: il Patch Tuesday chiude la falla, ma non invalida automaticamente l'accesso ottenuto attraverso di essa. La rotazione dei credential e, dove indicato, dei machine key, diventa parte integrante del ciclo di risposta, non un'opzione successiva. L'assenza di dati sensibili sulla piattaforma colpita ha mitigato l'impatto reputazionale e normativo per la Confederazione, ma non quello operativo: la ricostruzione dell'infrastruttura di collaborazione di un'agenzia federale rimane un costo misurabile in giorni-lavoro e interruzione di servizio.
Gli attaccanti hanno dimostrato che l'intervallo di esposizione — non la disponibilità tecnica della patch — è la variabile che conta. È un cambiamento di prospettiva che le redazioni di sicurezza stanno riportando con crescente frequenza. Il caso svizzero ne fornisce una conferma istituzionale.
Fonti
- https://www.helpnetsecurity.com/2026/08/07/swiss-government-microsoft-sharepoint-vulnerabilities/
- https://www.bleepingcomputer.com/news/security/swiss-government-sharepoint-breach-compromised-200-accounts/amp/
- https://securityaffairs.com/196625/hacking/sharepoint-flaws-used-to-hack-switzerlands-federal-it-agency.html
- https://www.scworld.com/brief/swiss-federal-it-agency-foitt-compromised-about-200-accounts-due-to-sharepoint-flaws
- https://www.bleepingcomputer.com/news/security/swiss-government-sharepoint-breach-compromised-200-accounts/
- https://www.techradar.com/pro/security/swiss-government-says-sharepoint-linked-data-breach-affected-hundreds-of-accounts
- https://cybersecuritynews.com/hackers-breach-swiss-sharepoint-servers/
- https://www.helpnetsecurity.com/2026/07/15/microsoft-patch-tuesday-sharepoint-cve-2026-56164/
- https://www.helpnetsecurity.com/2026/07/22/sharepoint-cve-2026-50522-exploited/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.