I servizi segreti svizzeri si sono fatti spiare?

I dipendenti del Servizio delle attività informative della Confederazione (SIC) hanno lavorato per anni con contatti russi, una collaborazione che avrebbe portato dati altamente sensibili a finire nelle mani dei servizi segreti russi.

Al centro della questione si trova la collaborazione della sezione contro le ciberminacce con la controversa Kaspersky, azienda russa attiva nel settore dei software. Un’inchiesta di SRF rivela che il SIC ha reagito dopo la minaccia da parte di servizi segreti alleati di interrompere la loro collaborazione.

Ginevra è quasi ferma il 3 novembre 2020. I ristoranti sono chiusi, pochi passanti in giro: il secondo lockdown per il Covid ha svuotato la città. Ma da qualche parte si incontrano due pezzi grossi del mondo dell’intelligence: i massimi responsabili del Servizio delle attività informative della Confederazione e di un servizio segreto straniero amico.

La Svizzera rischia un disastro: si tratta, come scriverà lo stesso SIC in un rapporto segreto, di accuse “riguardanti la trasmissione illegale di dati”. Secondo il documento, un dipendente del servizio segreto svizzero - che chiameremo W. - avrebbe trasmesso informazioni altamente sensibili a Kaspersky, un’azienda russa di cibersicurezza.

Le informazioni sarebbero state trasmesse ai servizi segreti russi tramite Kaspersky, conferma poco dopo un secondo servizio segreto amico. Ci sarebbe “il rischio che delle vite siano in pericolo”.

Dopo questi interventi, diversi campanelli d’allarme devono essere suonati alla Papiermühlestrasse di Berna, il quartier generale del SIC. Perché due servizi segreti importanti per la Svizzera avrebbero minacciato niente meno che di “interrompere la collaborazione con il SIC, se il dipendente avesse continuato a lavorare per il SIC”.

L’inchiesta della SRF si addentra nel funzionamento dei servizi segreti svizzeri e rivela che W. e il suo team non solo hanno ottenuto dati illegalmente, cosa già resa pubblica negli ultimi anni, ma hanno avuto stretti legami con una controversa azienda russa e hanno condiviso informazioni dei servizi segreti.

Per il giornalista investigativo Christo Grozev, che lavora per “The Insider” e “Spiegel” e da anni indaga sulle operazioni dei servizi segreti russi, la situazione è chiara: “Questo è spionaggio nell’interesse della Russia”.

L’affare russo è iniziato tra il 2014 e il 2015. Il SIC ha reclutato W. come capo del nuovo team di cibersicurezza. I suoi colleghi lo descrivono come carismatico e determinato, un uomo d’azione. W. e la sua squadra sono incaricati di proteggere la Svizzera nel ciberspazio. Ciò significa, tra le altre cose, indagare sugli attacchi da parte di hacker.

W. è il suo team costruiscono un vero e proprio servizio all’interno del servizio, secondo quanto emerge dal rapporto segreto. Il team gestisce una propria infrastruttura IT, costruisce anche una sorta di propri dispositivi di hacking, e lavora in modo indipendente dal resto del servizio di intelligence. Diversi membri del team cyber dichiarano anche nell’indagine interna che “i telefoni cellulari privati erano stati utilizzati per scopi di comunicazione aziendale”.

La squadra, tra il 2015 e il 2020, registra un notevole successo: respinge e chiarisce attacchi informatici e, con questo lavoro, si guadagna “alta considerazione presso i servizi partner stranieri”, come si afferma successivamente nella perizia esterna.

Per ottenere i migliori dati possibili per l’attività di ciberintelligence, W. e il suo team mantengono contatti anche con diverse aziende private. In parte formalizzati tramite contratti, in parte no.

Diverse di queste aziende sono elencate nel rapporto segreto sotto la voce “contatti regolari”, con in cima alla lista Kaspersky.

Secondo quanto riportato, W. afferma che l’azienda di cybersicurezza è “essenziale” per il lavoro del team informatico, secondo quanto riportato nel documento . Questo perché “il SIC non dispone di competenze e risorse sufficienti per individuare in modo autonomo e preventivo le attività di hacking (...)”.

Kaspersky è un nome importante. L’azienda russa di sicurezza informatica vende software antivirus in tutto il mondo. Tuttavia, da anni è anche sospettata di collaborare con i servizi segreti russi. Dal 2017, numerosi Paesi vietano a determinate agenzie governative di utilizzare il software Kaspersky per timore di spionaggio.

Secondo Grozev “Kaspersky è uno dei beni più preziosi che i servizi segreti russi possiedono, un accesso segreto sul resto del mondo”. Secondo il giornalista investigativo, un’azienda con sede in Russia che opera nel settore informatico ha necessariamente un legame con i servizi segreti russi. Semplicemente perché la legge russa lo impone.

È proprio con questa azienda russa che il di cibersicurezza del SIC mantiene stretti contatti tra il 2015 e il 2020.

In totale, nove dipendenti di Kaspersky sono elencati come persone di contatto, e una di loro è definita come “personne de confiance”, ovvero persona di fiducia. Il team informatico utilizza Kaspersky anche segretamente come intermediario per trasferimenti di denaro: i pagamenti a una società fornitrice passano attraverso Kaspersky.

Secondo il rapporto, questi contatti tra Kaspersky e il team informatico non vengono documentati ufficialmente, contrariamente a quanto previsto dal SIC. Inoltre, W. comunica con loro tramite il suo indirizzo email privato. Informazioni dei servizi segreti vengono condivise anche tramite diverse chat Threema, in parte private.

Ciò che il SIC riceve da Kaspersky rientra inizialmente nella normale attività dei servizi segreti. Il team informatico ha un contratto con l’azienda, come con altre, per ottenere dati utili all’analisi degli attacchi informatici.

Ma esiste anche una parte non ufficiale: il team informatico avrebbe infatti trasmesso a Kaspersky anche informazioni proprie, come campioni di malware, e avrebbe utilizzato un software dell’azienda. I campioni di malware sono prove digitali di software dannoso, come virus o ransomware, servono quindi a chiarire gli attacchi informatici.

A questo si aggiunge, nello stesso periodo, una sorta di scambio di dati: i servizi segreti svizzeri apparentemente raccolgono attivamente dati per Kaspersky e altre aziende private di sicurezza informatica. Nel rapporto segreto si legge in modo chiaro: il SIC trasmetterebbe informazioni alle aziende “per ricevere, in un’altra occasione, informazioni di valore per l’intelligence da parte loro”.

È allegato uno screenshot di una chat interna su Threema. In essa, W. chiede di raccogliere dati: “Can you please start a dump? It’s not APT related (…) Just a present to (…)“. Senza alcun legame con un attacco informatico concreto o critico, semplicemente come un regalo per l’azienda.

Il giornalista investigativo Grozev considera la collaborazione con Kaspersky “estremamente ingenua” e ritiene che “il principale beneficiario del lavoro di Kaspersky in Russia è il Governo russo”. Anche qualcosa di apparentemente innocuo come la condivisione di campioni di malware sarebbe utile per la Russia. I servizi segreti russi potrebbero usare i campioni per capire perché un particolare attacco informatico condotto da hacker russi non ha funzionato e adattare di conseguenza la loro tattica.

Kaspersky, in risposta a una richiesta di SRF, respinge l’accusa di cooperare con le autorità russe e afferma inoltre di non essere soggetta alle relative leggi.

Quanto spesso e quali informazioni sensibili W. e il team di cybersicurezza abbiano trasmesso a Kaspersky non è noto nemmeno al SIC. Il team d’indagine afferma nel rapporto segreto che “non è possibile tracciare” quali dati specifici siano stati scambiati con aziende partner come Kaspersky. Tuttavia, viene identificata almeno una concreta “fuga di dati estremamente critica”.

Un dipendente del SIC avrebbe trasmesso informazioni al servizio di intelligence militare russo GRU attraverso Kaspersky. Secondo quanto riportato dal SIC nel rapporto segreto, citando un servizio di intelligence alleato, si tratterebbe di “informazioni classificate, tra le altre cose” riguardanti agenti dei servizi segreti russi presenti all’Aia nel marzo 2018.

Questo servizio di intelligence partner avverte la Svizzera che le informazioni, potenzialmente letali, sarebbero finite nelle mani del servizio di intelligence militare russo GRU e potrebbero essere state trasmesse anche al servizio di sicurezza interno russo FSB.

La prima segnalazione di una fuga di informazioni verso Kaspersky risale al settembre 2018, quindi oltre due anni prima degli interventi dell’autunno 2020. Nel corso di questi due anni, come emerge dall’elenco cronologico contenuto nel rapporto segreto, due importanti servizi segreti occidentali si sono rivolti più volte ai loro colleghi svizzeri. Hanno denunciato una “trasmissione illegale di dati” a Kaspersky e messo in guardia contro W., che si sarebbe comportato in modo “compromettente”.

Al più tardi dalla primavera del 2020, il direttore del SIC era a conoscenza dei sospetti nei confronti di W. Il rapporto segreto non specifica a chi fossero rivolti gli avvertimenti precedenti, a lui o ad altre persone.

Arndt Freytag von Loringhoven conosce entrambi i mondi: il diplomatico tedesco ed ex ambasciatore ha lavorato a Mosca, in seguito è stato vicepresidente del servizio di intelligence tedesco BND e coordinatore dell’intelligence presso la NATO. Freytag sottolinea che “ogni volta c’è una possibile fuga di dati verso la Russia o esiste il rischio, scatta il massimo livello di allerta. I servizi partner non scherzano affatto su questo tema”.

Difficilmente può immaginare che la collaborazione con i servizi partner non sia stata pesantemente compromessa in un caso sospetto come questo. Lo scambio tra la Svizzera e i suoi servizi partner potrebbe non essersi fermato completamente durante questo periodo. “Ma ciò che si osserva spesso in questi casi è che la collaborazione prosegue solo formalmente: non si dichiara una crisi totale, ma in realtà viene svuotata di contenuto”, spiega Freytag. Per mancanza di fiducia, infatti, non viene più condiviso nulla che abbia un reale valore informativo.

Più di due anni dopo il primo avvertimento, il SIC reagisce nel dicembre 2020, come emerge dal rapporto segreto. W. viene inizialmente messo in telelavoro e successivamente lascia il servizio segreto. Nella primavera del 2021, il SIC ordina un’indagine interna.

Ci sono numerose incongruenze legate alla partenza di W. Dal rapporto risulta che, lasciando l’edificio del SIC, ha portato con sé il suo “laptop personale di servizio”. Lo avrebbe restituito solo nel marzo 2021, oltre tre mesi dopo, dopo averlo formattato, sostenendo che contenesse anche dati personali. Il suo stesso team informatico avrebbe poi sovrascritto più volte la memoria del computer. A questo proposito si legge: “Resta poco chiaro se e da chi sia stata ordinata la cancellazione”.

Allo stesso tempo, all’interno del servizio segreto sono emerse segnalazioni secondo cui “nel settore cibersicurezza del SIC sarebbero stati cancellati dati su larga scala”. Alcune settimane dopo, nell’ambito dell’indagine interna, cellulari e laptop dei membri del team informatico sono stati sequestrati e consegnati alla polizia federale. Tuttavia, non è mai stata effettuata un’analisi sistematica di questi dispositivi.

Il rapporto segreto lascia molte domande aperte. Rimane poco chiaro, ad esempio, se la collaborazione con Kaspersky sia continuata dopo il 2021. E se sia plausibile che W. abbia mantenuto questi contatti da solo.

Il rapporto segreto è stato consegnato ai responsabili, dal Servizio delle attività informative della Confederazione alle autorità di vigilanza fino al Consiglio federale - nel dicembre 2021, quindi più di tre anni fa. Quali misure sono state prese? Come si è impedito che continuassero ad esistere contatti russi non ufficiali?

L’ultimo indizio sull’elaborazione del caso proviene dalla procedura di verifica dell‘Autorità di vigilanza indipendente AVI-AIn., che si è conclusa nel febbraio 2024, ma il rapporto è stato pubblicato solo poche settimane fa, nel maggio 2025. Vi si può leggere che l’AVI-AIn prende atto con sorpresa del fatto che il SIC non abbia introdotto nuovi controlli all’interno del team informatico. “Un principio del doppio controllo” in relazione alla sezione di cibersicurezza “manca tuttora”.

Su richiesta della SRF, il SIC non entra nei dettagli delle domande specifiche, ma scrive: gli incidenti nell’ex settore di cibersicurezza del SIC tra il 2015 e il 2020 sono stati oggetto di indagine. Inoltre, il reparto è stato riorganizzato immediatamente dopo l’indagine interna. Ciò ha comportato “un rinnovamento fondamentale delle pratiche di acquisizione dei dati informatici, un’espansione dei meccanismi di controllo e una nuova direzione”. La gestione del team informatico è stata migliorata nel corso dell’ultimo anno.

Riguardo alle domande specifiche di SRF in relazione al rapporto di indagine interno, il servizio segreto scrive: “Il SIC non commenta rapporti segreti con i media.”

Il consigliere federale Martin Pfister, nuovo capo del DDPS, è responsabile del SIC. Un servizio di intelligence funzionante è di importanza centrale, “soprattutto in questa situazione mondiale caratterizzata dall’incertezza”, afferma Pfister in un’intervista a SRF.

Pfister ha avviato un’indagine amministrativa esterna per verificare se i punti sollevati nei rapporti precedenti siano stati implementati. Anche la questione di chi abbia distrutto i dati fa parte dell’indagine. Per quanto riguarda i fatti avvenuti tra il 2015 e il 2020, non sono attualmente in corso procedimenti penali.

“La fiducia nel SIC è di fondamentale importanza. Sto facendo tutto il possibile per ripristinarla”, afferma il capo del DDPS.

Perché W. ha mantenuto questi contatti? Qual era la sua motivazione? In una chat interna del team informatico, quando la collaborazione con una delle principali aziende fornitrici rischiava di crollare, si legge: Sarebbe un incubo - “saremo come tutti gli altri”. W. e il suo team, considerato molto efficiente, temevano evidentemente una perdita di rilevanza.

In risposta a una richiesta di SRF, l’ex capo del team informatico respinge le accuse. Attraverso il suo avvocato, afferma di aver collaborato pienamente durante l’indagine interna del SIC nel 2021. Il servizio di intelligence non avrebbe sollevato né accuse né imputazioni. Le accuse sarebbero congetture infondate, “completamente campate in aria” e provenienti da fonti non verificate in modo professionale.

Una cosa è chiara: lo scandalo russo sembra averlo toccato poco finora. W. è ancora attivo nel settore informatico ed è un relatore molto richiesto.