Montecitorio violato: anatomia dell'attacco alle caselle dei deputati -

di Flavio De Septis

A differenza dei tanti tentativi respinti finora, questo attacco ai sistemi della Camera dei deputati non si è fermato al perimetro: gli intrusi sono entrati in almeno tre caselle di posta parlamentari. La notizia è emersa martedì 27 ottobre 2026, mentre i tecnici di Montecitorio e dell’Agenzia per la cybersicurezza nazionale (ACN) stavano già lavorando al contenimento.

Secondo le ricostruzioni di Corriere della Sera, ANSA e CyberSecurity Italia, l’azione si è sviluppata nell’arco di alcuni giorni ed è culminata con la violazione notturna degli account. Le fonti concordano su un punto: il sistema informatico della Camera nel suo complesso ha retto.

Nel pomeriggio del 27 l’allarme è rientrato. I tecnici hanno isolato i sistemi coinvolti, bloccato l’attività malevola e applicato le patch di sicurezza per chiudere le vulnerabilità sfruttate, come riferito dall’ANSA.

Tre caselle, un nome che fa notizia

Gli account violati sono tre: quello della deputata Giorgia Meloni, quello dell’ex sottosegretario alla Giustizia Andrea Delmastro (FdI) e quello del leghista Paolo Formentini. Alcune testate parlano più genericamente di caselle di numerosi parlamentari prese di mira; l’accesso effettivo risulta confermato per questi tre.

La casella di Meloni è quella assegnata a ogni eletto a Montecitorio, non l’indirizzo della Presidente del Consiglio. Palazzo Chigi ha precisato che la premier non usa quell’account per le comunicazioni di governo, che passano da un canale con protezioni di livello superiore. La casella viene comunque monitorata e riceve molta posta indirizzata a lei.

Il dettaglio è meno marginale di quanto sembri. Un account poco usato ma attivo, che riceve messaggi da cittadini, colleghi e uffici, resta un bersaglio di valore: contiene relazioni, contatti e contesto utili a campagne di phishing mirato successive.

La risposta: protocollo ACN e indagine della Procura

La gestione dell’incidente si è mossa su due binari, tecnico e giudiziario.

Attore	Ruolo nell’incidente
Tecnici della Camera	Isolamento dei sistemi, blocco delle attività malevole, monitoraggio continuo
ACN	Supporto al contenimento nell’ambito del protocollo specifico firmato con Montecitorio in questa legislatura
Polizia Postale	Accertamenti tecnici e ricostruzione della dinamica; prima informativa attesa dai pm
Procura di Roma	Pronta ad aprire un fascicolo per accesso abusivo a sistema informatico
Palazzo Chigi	Precisazione sulla natura della casella di Meloni

Montecitorio ha scelto una comunicazione volutamente sobria. Secondo l’ufficio stampa, citato dall’ANSA, si tratta di una vicenda che “non ha carattere di emergenza” e che si ripresenta ogni giorno. Tra le misure, la Camera ha messo in conto anche la disattivazione temporanea di alcune funzionalità informatiche, come da prassi.

Il dossier potrebbe arrivare presto al Copasir, che segue con attenzione il tema degli attacchi cyber alle istituzioni ma finora non lo ha esaminato.

Chi c’è dietro: segnali contrastanti

Al 28 ottobre non c’è alcuna attribuzione ufficiale, né risultano rivendicazioni. Le indicazioni circolate finora vanno in direzioni diverse.

L’ipotesi della guerra ibrida. Negli ambienti della maggioranza si è fatto strada il sospetto di un collegamento con la campagna contro i portali istituzionali europei. Il Foglio ha letto l’episodio come conferma degli allarmi del ministro della Difesa Guido Crosetto.
La pista russa, per ora, non convince gli inquirenti. Secondo Quotidiano Nazionale, le prime informazioni porterebbero a escludere una matrice russa. Lo stesso giorno il gruppo filorusso NoName057(16) rivendicava invece altri otto bersagli italiani.
Una tecnica diversa dal solito. L’ANSA sottolinea che l’intrusione nella posta sembra di altra natura rispetto ai DDoS che hanno colpito la Farnesina. La Polizia Postale sta verificando se un’unica regia leghi gli attacchi ad altre istituzioni, italiane e straniere.

La distinzione tecnica è il punto chiave. Un DDoS satura un sito per qualche ora ed è uno strumento di propaganda. Entrare in una casella di posta richiede credenziali valide o una vulnerabilità sfruttabile: è un’operazione di accesso, potenzialmente di raccolta informativa. Le due cose possono convivere nella stessa campagna, ma non vanno confuse.

La tipologia del vettore d’attacco

Al 28 ottobre né la Camera, né l’ACN, né gli inquirenti hanno indicato il vettore usato. Le informazioni pubbliche permettono però di classificare l’episodio e di pesare le ipotesi.

Classificazione. Si tratta di una compromissione di account di posta (account takeover), cioè un attacco di accesso iniziale con finalità di raccolta. È una categoria diversa dal DDoS, che punta alla disponibilità dei servizi e non ai dati.

Vettore (tecnica MITRE ATT&CK)	Indizi pubblici	Valutazione
Sfruttamento di vulnerabilità su servizi esposti, es. webmail (T1190)	Bonifica con isolamento dei sistemi e applicazione di patch; ANSA parla di vulnerabilità da eliminare	Il più coerente con i fatti noti
Credenziali valide già compromesse e riutilizzate (T1078)	Nel 2024 Proton e Constella hanno trovato sul dark web mail e password di 91 parlamentari italiani, tra cui circa il 18% dei deputati	Plausibile, anche in combinazione col precedente
Phishing o spear phishing mirato (T1566)	Primo vettore di accesso alla posta secondo l’ACN; nessun elemento specifico sul caso	Plausibile, non riscontrato
Furto di sessione o token, aggiramento dell’MFA (T1550)	Nessuno	Ipotesi tecnica, da verificare nei log
Password spraying o forza bruta (T1110)	Montecitorio parla di attacchi quotidiani e di una fase massiva sull’intero sistema	Possibile come fase preliminare

Cosa indica il quadro. Il dato più solido è l’applicazione di patch: suggerisce che almeno una vulnerabilità abbia avuto un ruolo. Il numero ridotto di caselle violate, a fronte di un attacco descritto come massivo, è compatibile anche con credenziali già circolanti per specifici account. La risposta definitiva arriverà dall’informativa della Polizia Postale.

Il contesto italiano: la posta è già il fronte principale

I numeri dell’ACN dicono che il caso Montecitorio non è un’anomalia. Nell’Operational Summary di settembre 2026, pubblicato proprio il 27 ottobre, la compromissione di caselle email figura tra le minacce più frequenti insieme a DDoS e phishing.

Indicatore ACN, settembre 2026	Valore	Variazione su agosto
Eventi cyber	485	+57% (da 309)
Incidenti	235	+39 (da 196)
Account istituzionali compromessi individuati	253	—
CVE con sfruttamento attivo	25	+12
Rivendicazioni DDoS contro soggetti italiani	39	da 0

I tre principali vettori di accesso iniziale indicati dall’Agenzia sono lo sfruttamento di vulnerabilità, la posta elettronica usata per phishing e spear phishing e l’uso di credenziali valide già compromesse. Sono esattamente le strade che portano dentro una casella istituzionale.

Il quadro europeo: parlamenti nel mirino

I parlamenti e i ministeri europei sono da mesi un bersaglio ricorrente, e la pressione cresce con l’avvicinarsi delle scadenze elettorali. Secondo l’ANSA, da alcuni giorni si sono intensificati i tentativi contro istituzioni nazionali, europee e internazionali.

Farnesina, inizio ottobre 2026. Attacco DDoS attribuito al collettivo filorusso NoName057(16), intercettato dall’ACN e respinto con il Polo Strategico Nazionale. Anche in quel caso la Procura di Roma ha aperto un’inchiesta (CyberSecurity Italia).
Norvegia, 2026. Il sito del Parlamento è stato colpito in un’azione rivendicata dal gruppo filorusso Server Killers.
Germania. È stata accertata la violazione dei telefoni di alcuni ministri e parlamentari.

L’ANSA indica Russia e Cina come principali attori della minaccia ibrida contro i Paesi occidentali. Resta però un quadro di contesto, non una prova: per l’episodio della Camera ogni attribuzione è prematura.

Analisi tecnica: cosa sappiamo e cosa possiamo ipotizzare

La tecnica usata non è stata resa nota. Un solo indizio è pubblico: la bonifica ha richiesto patch di sicurezza dopo l’isolamento dei sistemi, segno che almeno una componente vulnerabile è stata individuata e corretta. Il resto, qui, è analisi e non cronaca.

Perché la posta. La casella di un parlamentare è un archivio di relazioni: chi scrive a chi, su quali dossier, con quali toni. Anche senza segreti di Stato, quel patrimonio alimenta spear phishing credibile, impersonificazione e operazioni di influenza. Il valore sta nel contesto, più che nel singolo messaggio.

Il nodo delle caselle dormienti. Un account attivo ma non presidiato dal titolare è il caso peggiore: riceve posta, ma nessuno nota un accesso anomalo, una regola di inoltro o un messaggio letto da altri. Il monitoraggio da parte dello staff aiuta, ma non sostituisce controlli tecnici sugli accessi.

Cosa guarderanno gli investigatori. Log di autenticazione e geolocalizzazione degli accessi, regole di inoltro create di recente, applicazioni autorizzate sugli account, volumi di messaggi esportati. Solo da qui si capirà se c’è stata esfiltrazione e di quale portata.

Le lezioni per le istituzioni

Il caso offre indicazioni concrete per qualunque amministrazione che gestisca caselle di figure pubbliche.

Autenticazione resistente al phishing. Chiavi FIDO2 o passkey per tutti gli account di eletti e staff, non solo codici via SMS o app.
Governo delle identità dormienti. Censire le caselle istituzionali non usate dal titolare: disattivarle, ridurle a sola ricezione con inoltro controllato, oppure sottoporle a monitoraggio rafforzato.
Accesso condizionato. Limitare gli accessi alla webmail per area geografica, dispositivo gestito e livello di rischio della sessione.
Rilevamento delle anomalie. Allarmi automatici su nuove regole di inoltro, accessi da posizioni insolite, esportazioni massive e consensi ad applicazioni di terze parti.
Segregazione dei canali. La scelta di Palazzo Chigi di separare la posta di governo da quella parlamentare ha limitato l’impatto. Lo stesso principio vale per ministri, sottosegretari e presidenti di commissione.
Formazione mirata. Eletti e collaboratori sono il bersaglio dello spear phishing: servono esercitazioni periodiche e un canale rapido per segnalare messaggi sospetti.
Patch management e superficie esposta. Le 25 CVE sfruttate attivamente rilevate dall’ACN solo a settembre ricordano che la finestra tra pubblicazione e attacco si misura in giorni.

Cyber igiene: le abitudini che fanno la differenza

Le misure tecniche funzionano solo se chi usa la casella adotta comportamenti corretti. La cyber igiene è questo: poche regole semplici, applicate ogni giorno, che chiudono le porte più usate dagli attaccanti. Valgono per eletti e staff, ma anche per chiunque gestisca una posta di lavoro.

Identità e credenziali

Una password diversa per ogni servizio, lunga e generata da un password manager. Il riuso trasforma un furto su un sito qualsiasi in un accesso alla posta istituzionale.
Mai usare l’indirizzo istituzionale per iscriversi a social, newsletter, e-commerce o altri servizi privati. È proprio così che le credenziali dei parlamentari sono finite sul dark web.
Attivare il secondo fattore ovunque, preferendo passkey o chiavi fisiche ai codici via SMS.
Verificare periodicamente se i propri indirizzi compaiono in data breach, con servizi di monitoraggio del dark web, e cambiare subito le password esposte.

Posta elettronica

Controllare l’indirizzo reale del mittente, non solo il nome visualizzato, e diffidare dei toni d’urgenza.
Non inserire mai le credenziali da un link ricevuto per email: aprire il servizio digitando l’indirizzo o dai preferiti.
Non aprire allegati inattesi, anche da colleghi: un account compromesso è il mittente più credibile.
Verificare ogni tanto regole di inoltro, deleghe e applicazioni autorizzate sulla propria casella: sono i primi segni di un accesso estraneo.

Dispositivi e connessioni

Installare subito gli aggiornamenti di sistema operativo, browser e app.
Bloccare sempre lo schermo e cifrare i dispositivi con cui si legge la posta istituzionale.
Evitare reti Wi-Fi pubbliche non protette, o usarle solo con una VPN fornita dall’amministrazione.
Tenere separati dispositivi e account personali da quelli di lavoro.

Comportamento e segnalazione

Segnalare subito al servizio informatico un messaggio sospetto o un clic sbagliato: i primi minuti contano più di qualunque bonifica successiva.
Chiudere o far disattivare le caselle che non si usano, invece di lasciarle aperte senza controllo.
Prestare attenzione nei prossimi giorni: notizie come questa diventano esca per nuove campagne di phishing che promettono dettagli riservati sull’attacco.

Conclusioni

L’episodio di Montecitorio non è un’emergenza, ma è un segnale. Il perimetro ha retto, la risposta è stata rapida e il canale di governo è rimasto separato: sono i risultati di scelte fatte negli anni scorsi.

Resta aperta la domanda più importante: che cosa è uscito da quelle caselle, e chi lo ha preso. Finché la Polizia Postale non avrà chiarito vettore e portata, ogni attribuzione resta un’ipotesi. La lezione invece è già chiara: nella minaccia ibrida, l’identità digitale di un eletto è un’infrastruttura critica e va protetta come tale.