Cámara de Diputados italiana: ataque al correo, también de Meloni

El 27 de octubre de 2026 la Cámara de Diputados de Italia confirmó un ataque a sus sistemas informáticos que afectó a varios buzones de correo parlamentarios, entre ellos el asignado a Giorgia Meloni. Según Security Affairs y Agenda Digitale, los buzones afectados son tres: además del de Meloni, los de los diputados Andrea Delmastro y Paolo Formentini. La Cámara activó las medidas de seguridad junto con la Agencia para la Ciberseguridad Nacional (ACN).

Las tres fuentes disponibles son artículos de análisis: dos llevan la firma del mismo autor (Pierluigi Paganini, en Cybersecurity360 y Security Affairs) y la tercera es de Agenda Digitale, que también recoge a ANSA y Quotidiano Nazionale. En la mañana del 28 de octubre, según Agenda Digitale, el vector técnico no estaba confirmado y no había reivindicaciones verificadas.

Qué ha pasado

• Las declaraciones oficiales. Fuentes de Montecitorio describieron el episodio como sin «carácter de emergencia», porque intentos de este tipo se producen a diario. La Cámara añadió, según Security Affairs, que en los últimos días la presión sobre los sistemas informáticos se ha intensificado también contra otras instituciones italianas, europeas e internacionales.
• El buzón de Meloni. Palazzo Chigi, sede de la Presidencia del Gobierno, precisó que no es el que la presidenta del Consejo usa para las comunicaciones de gobierno. Según Agenda Digitale, la misma nota lo define sin embargo como «constantemente monitorizado» y destinatario de mucha correspondencia.
• ¿Acceso o intento? Aquí las fuentes divergen. Agenda Digitale escribe que fuentes de Montecitorio confirmaron un acceso no autorizado. Security Affairs observa en cambio que la información pública aún no permite distinguir entre un intento bloqueado y un compromiso, ni establecer el nivel de acceso obtenido o si se sustrajeron datos.

Detalles técnicos

No se han comunicado CVE, productos afectados ni indicadores de compromiso. El elemento técnico más concreto procede de ANSA, citada por Agenda Digitale: la noche del 27 de octubre, los técnicos de la Cámara y de la ACN trabajaban para aislar los sistemas, bloquear las actividades maliciosas, eliminar las vulnerabilidades, restablecer las funciones comprometidas y aplicar parches de seguridad. Son las fases de contención, erradicación y recuperación de un incidente real; aplicar parches hace pensar en una vulnerabilidad en un componente de software, pero no se ha dicho cuál (webmail, un servicio expuesto u otro).

Sobre la atribución:

• según lo que se ha filtrado de la investigación, recogido por Agenda Digitale, por ahora se descartaría el origen ruso;
• el grupo prorruso NoName057(16) había atacado con un DDoS también mobile.camera.it el 13 de octubre (Agenda Digitale), y el 8 de octubre el Ministerio de Asuntos Exteriores sufrió un DDoS que los medios vincularon con actores prorrusos (Security Affairs). Ambas fuentes subrayan que un DDoS es una operación distinta de una intrusión en el correo y que no hay pruebas de una relación.

En el plano judicial, Agenda Digitale informa de que la Fiscalía de Roma está dispuesta a abrir una causa por acceso no autorizado a un sistema informático (art. 615-ter del Código Penal italiano) en cuanto llegue el informe de la Policía Postal; la ACN no ha emitido un comunicado propio.

El contexto lo da el Operational Summary de septiembre de la ACN (publicado el 23 de octubre), citado por Agenda Digitale: el compromiso de buzones de correo está entre las amenazas más frecuentes en Italia, junto con DDoS y phishing; en el mes se gestionaron 235 incidentes (+39 % respecto a agosto) y se detectaron 253 cuentas comprometidas de entidades institucionales, en gran parte gracias a los datos recogidos por infostealers. Los principales vectores de entrada señalados por la Agencia son la explotación de vulnerabilidades, el phishing y el spear phishing y el uso de credenciales válidas. Ninguna fuente relaciona estas cifras con el ataque a la Cámara.

Mientras el vector no se conozca, las técnicas de MITRE ATT&CK que hay que vigilar son las típicas de los ataques al correo: explotación de aplicaciones expuestas (T1190), uso de cuentas válidas (T1078), phishing (T1566) y recopilación de correo, incluidas las reglas de reenvío (T1114).

Impacto para las empresas europeas e italianas

Un buzón, aunque no sea el «principal», contiene contactos, relaciones, agendas y documentos. Security Affairs subraya que una cuenta comprometida se convierte en un trampolín: los mensajes enviados desde una dirección legítima parecen fiables y facilitan el phishing dirigido y la suplantación de identidad frente a compañeros y socios. Lo mismo vale para los buzones de la dirección de cualquier empresa.

Agenda Digitale recuerda la Ley 90/2024, que obliga a las administraciones públicas centrales italianas a señalar a la ACN los incidentes relevantes en 24 horas y a notificarlos en 72. La Cámara, como órgano constitucional, colabora con la ACN mediante un protocolo de entendimiento (firmado en 2023 y renovado en febrero de 2026) cuyo contenido no es público. Para las empresas dentro del ámbito de NIS2 (en Italia, el Decreto Legislativo 138/2024), un acceso no autorizado a los buzones de la dirección debe evaluarse con el procedimiento propio de clasificación de incidentes y, si es significativo, notificarse en los plazos previstos; si afecta a datos personales, entra en juego también el RGPD.

Qué hacer ahora

1. Autenticación fuerte en el webmail y en el acceso remoto al correo, con factores resistentes al phishing para la dirección y para quien administra el correo; desactiva los protocolos de autenticación básica donde no hagan falta.
2. Actualiza los componentes expuestos del correo: webmail, servidores, gateways y proxies inversos.
3. Busca las credenciales de la empresa en los datos de los infostealers y restablece enseguida las que encuentres, invalidando las sesiones activas.
4. Revisa reglas de reenvío y de buzón, delegaciones y aplicaciones autorizadas en las cuentas de la dirección: es la forma más común de seguir leyendo el correo después de un cambio de contraseña.
5. Vigila los accesos: nuevos países u operadores, accesos IMAP o webmail inusuales, descargas masivas de mensajes.
6. Desactiva los buzones que ya no se usan, o protégelos y monitorízalos como los activos.
7. Prepara la respuesta: clasificación escrita de los incidentes, umbrales de notificación, plazos (24 y 72 horas) y una única versión de los hechos entre técnicos y comunicación.

Cómo ayuda ARXDOME

ARX Expose muestra lo que ve un atacante desde fuera, incluidos los servicios expuestos vulnerables y las cuentas de la empresa implicadas en brechas conocidas. ARX Sentry recoge registros y eventos de servidores y firewalls, útiles para detectar accesos anómalos; ARX Horizon los enriquece con país, operador y listas de amenazas, y ARX Shield señala las vulnerabilidades abiertas en las máquinas monitorizadas.

Última actualización: 28 de octubre de 2026