Attacco alla Camera: fatti accertati e verifiche per chi dirige un'organizzazione

L'ANSA ha riferito il 27 ottobre 2026 di un attacco ai sistemi informatici della Camera, sulla base di fonti di Montecitorio. L'episodio ha interessato numerose caselle parlamentari; tra gli indirizzi citati figura quello assegnato a Giorgia Meloni come deputata. Fonti di Palazzo Chigi hanno precisato che non è l'indirizzo utilizzato per le comunicazioni di governo. Le fonti della Camera hanno richiamato le misure di protezione adottate anche con l'Agenzia per la cybersicurezza nazionale, che possono comprendere la sospensione temporanea di alcune funzionalità.

Che cosa è successo e che cosa non è confermato

Il coinvolgimento di una casella non dimostra, da solo, che un soggetto non autorizzato abbia letto messaggi, scaricato allegati o inviato posta a nome del titolare. Queste attività richiedono riscontri distinti. Anche la disponibilità del servizio e la riservatezza dei messaggi sono questioni diverse: la posta può continuare a funzionare mentre qualcuno accede senza autorizzazione.

Il Foglio riporta al condizionale una violazione della rete, che non trova conferma nelle dichiarazioni della Camera disponibili. Il Giornale, richiamando il Corriere della Sera, riferisce che il sistema avrebbe retto. La compromissione del sito non è confermata: il titolo inglese del Foglio non trova riscontro nel corpo dell'articolo né nelle dichiarazioni istituzionali riportate.

Il criterio con cui valuto il caso

Nel valutare la notizia parto dalla corrispondenza fra affermazione e prova. Questo metodo permette di formulare verifiche utili senza attribuire all'episodio una dinamica, un'estensione o responsabilità che non sono state accertate.

Per chi dirige un'azienda o un ente, la notizia permette di riesaminare la gestione degli accessi e delle comunicazioni. Occorre però distinguere ciò che l'episodio documenta dai rischi generali che suggerisce di verificare.

Come si attaccano le caselle e quali difese servono

Le credenziali rubate sono dati utilizzati per autenticarsi che qualcuno ha acquisito senza autorizzazione. Una password può essere sottratta attraverso il phishing: un messaggio apparentemente affidabile conduce, per esempio, a una falsa pagina di accesso nella quale la persona inserisce le proprie credenziali. L'Australian Signals Directorate descrive questo meccanismo nelle proprie indicazioni di sicurezza. Il riutilizzo della stessa password su servizi diversi consente inoltre di tentare altrove l'accesso con credenziali già sottratte.

Il password spraying segue un'altra logica: chi attacca prova poche password comuni su molti account, anziché concentrare numerosi tentativi su uno solo. Come spiega il Center for Internet Security, questo può ridurre la probabilità di attivare i blocchi previsti per i ripetuti errori sul singolo account. Sono meccanismi generali; le fonti disponibili non consentono di attribuirli all'attacco alla Camera.

L'autenticazione a più fattori, o MFA, richiede prove di identità appartenenti a categorie diverse, per esempio una password e il possesso di un dispositivo. Riduce il rischio che la sola password rubata consenta l'accesso, ma le modalità non sono equivalenti. Un codice digitato su un sito falso può essere intercettato; richieste insistenti di approvazione sul telefono possono indurre l'utente ad accettarne una illegittima.

La Cybersecurity and Infrastructure Security Agency statunitense raccomanda forme di MFA resistenti al phishing. Il National Institute of Standards and Technology (NIST) ne descrive la funzione: impedire che un sito contraffatto ottenga una prova di autenticazione utilizzabile sul servizio legittimo. Per una direzione, sapere che la MFA è presente non esaurisce quindi la verifica: servono il tipo di protezione adottata, gli account coperti e le eventuali eccezioni.

Una casella che nessuno consulta, se l'account resta abilitato, può continuare a ricevere messaggi, conservare corrispondenza e consentire l'accesso. I CIS Critical Security Controls raccomandano l'inventario degli account e la disabilitazione di quelli inutilizzati. Disabilitare l'accesso non equivale a cancellare l'archivio: la conservazione dei messaggi e delle tracce di controllo richiede una decisione distinta.

Quando una casella deve restare attiva per una necessità documentata, è opportuno assegnarne la responsabilità, controllare chi può accedervi e sorvegliarne l'utilizzo. La semplice assenza di consultazioni non è una misura di sicurezza. La precisazione di Palazzo Chigi sull'uso della casella non permette di stabilirne l'attività, i contenuti o le protezioni.

Che cosa può determinare e quali verifiche servono

Se una casella viene compromessa, chi vi accede può impersonare il titolare o tentare il recupero delle password di servizi collegati. La conoscenza delle conversazioni può rendere credibili richieste fraudolente, comprese modifiche alle coordinate di pagamento. Sono conseguenze possibili, non eventi accertati nel caso Camera.

La direzione deve poter conoscere l'esito dei controlli, con il relativo riscontro. Una dichiarazione generica sulla sicurezza della posta non consente di stabilire quali account siano protetti o se esistano accessi non autorizzati.

I responsabili tecnici possono organizzare la verifica in passaggi documentati:

• Confrontare gli account abilitati con le persone e le funzioni autorizzate. Includere caselle condivise, deleghe e account amministrativi.
• Verificare la copertura della MFA e individuare i metodi di accesso che consentono di evitarla.
• In caso di compromissione, bloccare tempestivamente gli accessi dell'account coinvolto e revocare le sessioni secondo le procedure; conservare i riscontri necessari all'indagine.
• Correlare gli accessi riusciti e falliti con orari, indirizzi di rete e dispositivi. Una password corretta seguita dal fallimento della MFA non dimostra un accesso riuscito.
• Se esistono indizi di compromissione, esaminare inoltri, regole della posta, autorizzazioni applicative e metodi MFA aggiunti; verificare anche le sessioni già aperte.
• Ricostruire, nei limiti dei registri disponibili, quali messaggi e documenti siano stati consultati o trasferiti e quali altri servizi fossero accessibili dall'account.
• Conservare i registri e documentare gli interventi, così da ricostruire l'accaduto senza perdere le evidenze durante la bonifica.

Le indicazioni Microsoft sulla risposta agli account compromessi spiegano perché il cambio della password non esaurisca la bonifica: occorre rimuovere anche le modifiche che possono mantenere accessi o inoltri. Le raccomandazioni del NIST prevedono attenzione all'integrità delle evidenze e alla verifica del ripristino.

La continuità va preparata prima della sospensione della posta. L'organizzazione deve indicare quali comunicazioni possono attendere, quali richiedono un canale alternativo e chi ne autorizza l'uso. Trasferire messaggi su una casella privata può sottrarli ai controlli dell'ente. Per le richieste urgenti che modificano pagamenti o autorizzazioni, un controllo attraverso un recapito già verificato riduce il rischio di eseguire istruzioni di un impostore.

Due precedenti parlamentari documentati

Nel giugno 2017 il Parlamento britannico subì un attacco contro gli account di posta. Il Parliamentary Digital Service descrisse tentativi di password mantenuti sotto le soglie che avrebbero attivato i blocchi. L'aggiornamento istituzionale del 20 luglio precisò che alcune caselle di deputati erano state raggiunte attraverso le credenziali di personale autorizzato ad accedervi. Il Parlamento accelerò l'estensione della MFA, già avviata prima dell'attacco.

Quel caso mostra perché l'esame non possa limitarsi all'account intestato al titolare: le deleghe consentono accessi ulteriori, che devono rientrare nei controlli. I servizi centrali, secondo il resoconto tecnico, erano rimasti disponibili. La continuità del servizio non aveva impedito la compromissione di account.

La relazione annuale 2022 dell'autorità norvegese Datatilsynet descrive invece l'attacco subito dallo Storting nell'autunno 2020, con accessi non autorizzati alla posta di parlamentari e personale e download di dati. L'autorità valutò insufficienti le misure adottate, in particolare per l'assenza di autenticazione a due fattori o protezioni equivalenti.

Questi precedenti documentano meccanismi e conseguenze accertati nei rispettivi casi. Non forniscono la ricostruzione di quanto è accaduto alla Camera italiana.

Uso responsabile degli strumenti, delle notizie e dell'IA

L'uso responsabile degli strumenti istituzionali comprende la segnalazione degli accessi sospetti e il rispetto delle procedure durante un'interruzione. Chi riceve una richiesta di approvazione MFA che non corrisponde a un proprio accesso deve rifiutarla e sapere a chi segnalarla.

La stessa precisione serve quando si diffonde una notizia. Se una fonte scrive che una rete sarebbe stata violata, un riassunto che elimina il condizionale modifica il fatto riferito. Se una casella è coinvolta, dedurne che i messaggi siano stati sottratti aggiunge un evento ancora da provare.

Il profilo NIST dedicato all'IA generativa considera il rischio di contenuti falsi espressi con sicurezza e raccomanda verifiche sulle fonti e sulle citazioni. Chi usa l'IA per sintetizzare o tradurre deve quindi confrontare il testo prodotto con i passaggi originali. Messaggi e registri riservati richiedono inoltre strumenti autorizzati per quel trattamento.

Per un direttore, il passo successivo è ottenere un riscontro sugli account attivi, sulle protezioni effettivamente applicate e sul canale da utilizzare durante un'interruzione. Per descrivere ulteriormente il caso Camera occorrono invece nuovi accertamenti, ai quali adeguare le valutazioni.