Il Registro della trasparenza svizzero dovrebbe entrare in funzione il 1° ottobre 2026, catalogando i titolari effettivi di circa 600.000 entità giuridiche. Ma un cyberattacco al sistema quasi identico del confinante Liechtenstein ha spinto i gestori patrimoniali svizzeri a chiedersi se il lancio debba essere rinviato.

Nella notte tra il 29 e il 30 luglio, hacker hanno violato il Registro dei titolari effettivi del Liechtenstein, noto come VwbP, sottraendo dati personali legati a circa 31.000 entità giuridiche. Le informazioni compromesse includevano nomi, date di nascita, nazionalità e paesi di residenza delle persone dietro società, fondazioni e trust. Non è stato accesso alcun dato finanziario.

Cosa è accaduto in Liechtenstein

Il Liechtenstein ha lanciato il proprio VwbP nel 2021 per conformarsi alle direttive europee antiriciclaggio. Il 30 luglio le autorità hanno rilevato irregolarità nel registro, ponendo fine al suo periodo di funzionamento sicuro. Il governo del Liechtenstein ha reagito rapidamente, mettendo offline il database e istituendo un'unità di crisi guidata dal Primo ministro Brigitte Haas e dal Ministro della giustizia Emanuel Schädler. I funzionari sono stati formalmente informati entro il 31 luglio o il 1° agosto. Comunicati pubblici che confermavano la portata della violazione sono seguiti tra il 2 e il 4 agosto.

Perché i gestori patrimoniali svizzeri sono preoccupati

Svizzera e Liechtenstein sono profondamente intrecciate sul piano della gestione patrimoniale. Molti clienti svizzeri utilizzano entità domiciliate in Liechtenstein, in particolare fondazioni e trust, come parte della loro strutturazione patrimoniale. La violazione quindi non riguarda solo persone a Vaduz: coinvolge anche clienti al di là del confine, a Zurigo, Ginevra e in altri centri di private banking.

Il Registro della trasparenza svizzero funzionerebbe su linee simili al VwbP liechtensteinese, raccogliendo dati sulla titolarità effettiva delle entità giuridiche del paese. La scala, tuttavia, è notevolmente maggiore: si stima che copra 600.000 entità rispetto alle 31.000 del Liechtenstein — circa 20 volte la superficie di attacco, un punto che gli intermediari finanziari svizzeri stanno ora sottolineando con urgenza.

L'argomento dei gestori patrimoniali non è che la trasparenza sia negativa. Essi sostengono piuttosto che lanciare un enorme database centralizzato di informazioni personali sensibili senza una cybersecurity solida è imprudente. A loro avviso, la violazione in Liechtenstein rappresenta una prova di concetto del tipo di attacco che potrebbe colpire il registro svizzero su scala ben maggiore.

Il dibattito si inserisce in un più ampio confronto europeo su chi debba poter consultare i dati sulla titolarità effettiva. Nel novembre 2022, la Corte di giustizia dell'Unione europea ha stabilito che l'accesso pubblico indiscriminato a tali registri violava i diritti alla privacy, limitandolo alle persone con un legittimo interesse. Quella sentenza ha rimodellato il funzionamento dei registri negli Stati membri dell'UE — e nei paesi SEE come il Liechtenstein — e inquadrare la discussione attuale in Svizzera su quanto strettamente limitare l'accesso al Registro della trasparenza una volta lanciato.

La tensione tra trasparenza e sicurezza

I registri dei titolari effettivi esistono per un obiettivo politico semplice: rendere più difficile il riciclaggio di denaro imponendo la disclosure di chi controlla effettivamente le entità societarie. Il Liechtenstein, pur non essendo membro dell'UE, ha adottato il quadro tramite la propria adesione allo Spazio economico europeo. I registri fanno parte di uno sforzo internazionale più ampio, promosso da organismi come il Financial Action Task Force e il G20, per eliminare l'anonimato che le società schermo possono garantire.

I dati liechtensteiniani sottratti, pur non contenendo saldi di conto o storico delle transazioni, sono tutt'altro che innocui. Nomi e date di nascita dei titolari effettivi, uniti a nazionalità e paesi di residenza, forniscono informazioni sufficienti per sofisticati attacchi di social engineering, furto di identità o persino minacce alla sicurezza fisica di individui facoltosi.

Il modo in cui le autorità svizzere risponderanno alle preoccupazioni dei gestori patrimoniali in vista del lancio di ottobre 2026 — sia con regole di accesso adeguate, requisiti di sicurezza rafforzati o un rinvio — segnalerà come il paese intende bilanciare i propri impegni antiriciclaggio con le aspettative di protezione dei dati del proprio settore del private banking.