AfD: hosting violato, 421.000 email in un archivio online

Il partito tedesco Alternative für Deutschland (AfD) ha confermato il 19 ottobre 2026 che a settembre è stato violato un fornitore di hosting usato dal partito e che sono state copiate alcune caselle di posta. Nelle stesse ore il sito anonimo hexane.cc pubblicava l’indice di quello che dichiara essere un archivio di 421.179 email interne. Secondo Graham Cluley, l’intero materiale, 281 GB tra messaggi e oltre 100.000 file, è scaricabile tramite torrent.

Cosa è successo

• Settembre 2026: secondo il partito, attacco al fornitore di hosting e copia di parti di alcune caselle di posta. Il messaggio più recente dell’indice risale al 12 settembre 2026, secondo l’analisi dell’account International Cyber Digest (ICD) ripresa da Security Affairs e da Cluley.
• 19 ottobre: hexane.cc va online e il partito conferma l’incidente al quotidiano Bild. Nel pomeriggio le pagine del sito che ne spiegano metodo e finalità restituiscono errori del server (Security Affairs).
• 23 ottobre: heise Security dà notizia della rivendicazione dei presunti autori. Secondo Cluley, chi ha diffuso i dati dichiara di voler mostrare la «degenerazione e ipocrisia» del partito e sostiene di aver ricevuto, da un indirizzo Proton Mail, un’offerta di 100.000 euro per togliere il sito.

La versione del partito è limitata: gli attaccanti avrebbero copiato parti di poche caselle, per lo più inutilizzate da anni, senza accedere agli account attuali dei vertici. Le date dei messaggi nell’indice, fino al 12 settembre, mettono in dubbio questa ricostruzione, come osservano sia Security Affairs sia Cluley.

Dettagli tecnici

Non sono stati dichiarati CVE né software colpiti. Gli elementi noti:

• Accesso iniziale: chi ha attaccato ha detto a ICD di essere entrato da «un solo sito web del partito non aggiornato» e di aver raggiunto da lì i server di posta. Il partito conferma solo l’attacco al fornitore di hosting; il metodo di ingresso non è stato verificato in modo indipendente. Se confermato, sarebbe lo sfruttamento di un’applicazione esposta (MITRE ATT&CK T1190) seguito da un movimento verso la posta sulla stessa infrastruttura.
• Raccolta e staging: i nomi dei file dell’archivio indicano un server chiamato «afd_exfil», etichetta usata di solito per il sistema su cui si accumulano i dati prima di portarli fuori dalla rete (raccolta di email T1114, dati in staging T1074).
• Pubblicazione: hexane.cc non mostra le email ma riassunti scritti da un software di IA, divisi in categorie come razzismo e antisemitismo e classificati da Low a Critical; il software usato non è indicato. Secondo Security Affairs (20 ottobre), aprendo un record compare «source text not published for this record» e nessun riassunto era collegato a un originale verificabile. Secondo Cluley (23 ottobre), il sito rimanda al torrent per gli originali completi, con intestazioni, testo, allegati e firme DKIM.
• Affidabilità: fonti del partito, citate da Cluley, ritengono autentiche le email ma segnalano diverse inesattezze nei riassunti. Bild, l’unica testata tedesca che risulta aver esaminato direttamente un piccolo campione, ha trovato documenti d’identità, fatture, estratti conto, domande di adesione ed elenchi regionali degli iscritti con nomi e indirizzi di casa, benché il sito dichiari di aver ridotto al minimo i dati personali.

Le firme DKIM sono il dettaglio più rilevante per la verifica: permettono di controllare che un messaggio non sia stato alterato, finché la chiave pubblica del dominio mittente è disponibile. Un riassunto generato dall’IA, invece, non si può verificare.

Cluley ricorda anche un episodio precedente: il 3 settembre il portavoce del gruppo AfD nel parlamento della Turingia ha avvertito che la sua casella di lavoro era stata usata per inviare email di phishing con allegati PDF. Nessuna fonte lo collega alla violazione dell’hosting.

Impatto per le aziende europee e italiane

La vittima è un partito, ma lo schema riguarda molte organizzazioni: un sito dimenticato o non aggiornato sulla stessa infrastruttura della posta, nessuna separazione tra i due, caselle inattive da anni ancora piene di corrispondenza e allegati.

Per il GDPR, domande di adesione ed elenchi degli iscritti a un partito rivelano opinioni politiche, una categoria particolare di dati (articolo 9); lo stesso vale per sindacati, associazioni e organizzazioni religiose. Una fuga di questo tipo comporta un rischio elevato per le persone e richiede in genere sia la notifica all’autorità di controllo sia la comunicazione agli interessati.

Il punto di ingresso dichiarato è un fornitore di hosting: per i soggetti NIS2 (in Italia il d.lgs. 138/2024) la sicurezza della catena di approvvigionamento è tra le misure richieste, e i fornitori di servizi gestiti, cloud e data center possono essere essi stessi soggetti alla direttiva.

C’è infine un rischio per i curiosi: Cluley sconsiglia di scaricare il torrent, perché in passato torrent legati a fatti di cronaca sono stati usati per distribuire malware, e perché trattare dati personali rubati può avere conseguenze legali.

Cosa fare subito

1. Fai l’inventario dei siti esposti, compresi quelli locali, di campagne o di progetti chiusi: aggiornali o spegnili.
2. Separa il web dalla posta: server, account di amministrazione e credenziali diversi; un sito compromesso non deve dare accesso alle caselle.
3. Gestisci le caselle inattive: disattiva gli account non usati, applica una politica di conservazione, archivia offline o cancella la posta che non serve più.
4. Sorveglia le esportazioni: scaricamenti IMAP massicci, esportazioni di caselle, grandi trasferimenti in uscita dai server di posta, accessi amministrativi da origini nuove.
5. Rivedi i contratti con l’hosting: tempi di notifica degli incidenti, accesso ai log, segmentazione tra i clienti.
6. Vieta di scaricare archivi trafugati sui dispositivi aziendali e blocca i client torrent dove non servono.
7. Prepara la risposta: valutazione del rischio per gli interessati e notifica all’autorità entro 72 ore, con particolare attenzione ai dati di categorie particolari.

Come aiuta ARXDOME

ARX Expose mostra cosa vede un attaccante da fuori, compresi i servizi esposti vulnerabili e gli account aziendali coinvolti in violazioni note: serve a trovare il sito dimenticato prima che lo trovi qualcun altro. ARX Shield segnala le vulnerabilità aperte sulle macchine monitorate e ARX Sentry raccoglie log ed eventi di server e firewall, utili per notare accessi e trasferimenti anomali.

Ultimo aggiornamento: 23 ottobre 2026