Camera dei deputati: attacco alle caselle email, anche di Meloni

Il 27 ottobre 2026 la Camera dei deputati ha confermato un attacco ai propri sistemi informatici che ha coinvolto alcune caselle di posta parlamentari, tra cui quella assegnata a Giorgia Meloni. Secondo Security Affairs e Agenda Digitale le caselle interessate sono tre: oltre a quella di Meloni, quelle dei deputati Andrea Delmastro e Paolo Formentini. La Camera ha attivato le misure di sicurezza insieme all’Agenzia per la Cybersicurezza Nazionale (ACN).

Le tre fonti disponibili sono articoli di analisi: due portano la firma dello stesso autore (Pierluigi Paganini, su Cybersecurity360 e Security Affairs), la terza è di Agenda Digitale, che riprende anche ANSA e Quotidiano Nazionale. Alla mattina del 28 ottobre, secondo Agenda Digitale, il vettore tecnico non era confermato e non c’erano rivendicazioni verificate.

Cosa è successo

• Le dichiarazioni ufficiali. Fonti di Montecitorio hanno descritto l’episodio come privo di «carattere di emergenza», perché tentativi di questo tipo si presentano ogni giorno. La Camera ha aggiunto, riporta Security Affairs, che negli ultimi giorni la pressione sui sistemi informatici si è intensificata anche contro altre istituzioni italiane, europee e internazionali.
• La casella di Meloni. Palazzo Chigi ha precisato che non è quella usata dalla presidente del Consiglio per le comunicazioni di governo. Secondo Agenda Digitale, la stessa nota la definisce però «costantemente monitorata» e destinataria di molta corrispondenza.
• Accesso o tentativo? Qui le fonti divergono. Agenda Digitale scrive che fonti di Montecitorio hanno confermato un accesso abusivo. Security Affairs osserva invece che le informazioni pubbliche non permettono ancora di distinguere tra un tentativo bloccato e una compromissione, né di stabilire il livello di accesso ottenuto o se siano stati sottratti dati.

Dettagli tecnici

Non sono stati comunicati CVE, prodotti colpiti né indicatori di compromissione. L’elemento tecnico più concreto viene dall’ANSA, citata da Agenda Digitale: la sera del 27 ottobre i tecnici della Camera e dell’ACN lavoravano per isolare i sistemi, bloccare le attività malevole, eliminare le vulnerabilità, ripristinare le funzionalità compromesse e applicare patch di sicurezza. Sono le fasi di contenimento, eradicazione e ripristino di un incidente; l’applicazione di patch fa pensare a una vulnerabilità in un componente software, ma quale (webmail, servizio esposto o altro) non è stato detto.

Sull’attribuzione:

• secondo quanto filtrato dalle indagini e riportato da Agenda Digitale, al momento sarebbe esclusa la matrice russa;
• il gruppo filorusso NoName057(16) aveva colpito con un DDoS anche mobile.camera.it il 13 ottobre (Agenda Digitale), e l’8 ottobre il Ministero degli Esteri aveva subito un DDoS che i media hanno collegato ad attori filorussi (Security Affairs). Entrambe le fonti sottolineano che un DDoS è un’operazione diversa da un’intrusione nella posta e che non ci sono prove di un legame.

Sul piano giudiziario, Agenda Digitale riferisce che la Procura di Roma è pronta ad aprire un fascicolo per accesso abusivo a sistema informatico (art. 615-ter c.p.) all’arrivo dell’informativa della Polizia Postale; l’ACN non ha diffuso un proprio comunicato.

Il contesto lo dà l’Operational Summary di settembre dell’ACN (pubblicato il 23 ottobre), richiamato da Agenda Digitale: la compromissione delle caselle email è tra le minacce più frequenti in Italia insieme a DDoS e phishing; nel mese sono stati trattati 235 incidenti (+39% su agosto) e individuati 253 account di soggetti istituzionali compromessi, in gran parte grazie ai dati raccolti dagli infostealer. I vettori d’ingresso principali indicati dall’Agenzia sono sfruttamento di vulnerabilità, phishing e spear phishing e uso di credenziali valide. Nessuna fonte collega questi numeri all’attacco alla Camera.

Finché il vettore non è noto, le tecniche MITRE ATT&CK da sorvegliare sono quelle tipiche degli attacchi alla posta: sfruttamento di applicazioni esposte (T1190), uso di account validi (T1078), phishing (T1566) e raccolta di email, comprese le regole di inoltro (T1114).

Impatto per le aziende europee e italiane

Una casella, anche se non è quella «principale», contiene contatti, rapporti, agende e documenti. Security Affairs sottolinea che un account compromesso diventa un trampolino: i messaggi inviati da un indirizzo legittimo sembrano affidabili e aiutano phishing mirato e furti d’identità verso colleghi e partner. Lo stesso vale per le caselle dei vertici aziendali.

Agenda Digitale richiama la Legge 90/2024, che impone alle pubbliche amministrazioni centrali di segnalare all’ACN gli incidenti rilevanti entro 24 ore e di notificarli entro 72. La Camera, come organo costituzionale, collabora con l’ACN tramite un protocollo d’intesa (firmato nel 2023 e rinnovato a febbraio 2026) i cui contenuti non sono pubblici. Per le aziende nel perimetro NIS2 (d.lgs. 138/2024) l’accesso abusivo alle caselle del vertice va valutato con la propria procedura di classificazione degli incidenti e, se significativo, notificato nei tempi previsti; se riguarda dati personali, entra in gioco anche il GDPR.

Cosa fare subito

1. Autenticazione forte su webmail e accesso remoto alla posta, con fattori resistenti al phishing per i vertici e per chi gestisce la posta; disattiva i protocolli di autenticazione semplice dove non servono.
2. Aggiorna i componenti esposti della posta: webmail, server, gateway e reverse proxy.
3. Cerca le credenziali aziendali nei dati degli infostealer e reimposta subito quelle trovate, invalidando le sessioni attive.
4. Controlla regole di inoltro e di casella, deleghe e app autorizzate sugli account dei vertici: è il modo più comune per continuare a leggere la posta dopo un cambio di password.
5. Sorveglia gli accessi: nuovi paesi o operatori, accessi IMAP o webmail insoliti, scaricamenti massicci di messaggi.
6. Disattiva le caselle non più usate o proteggile e monitorale come quelle attive.
7. Prepara la risposta: classificazione scritta degli incidenti, soglie di notifica, tempi (24 e 72 ore) e una sola versione dei fatti tra tecnici e comunicazione.

Come aiuta ARXDOME

ARX Expose mostra cosa vede un attaccante da fuori, compresi i servizi esposti vulnerabili e gli account aziendali finiti in violazioni note. ARX Sentry raccoglie log ed eventi di server e firewall, utili per notare accessi anomali; ARX Horizon li arricchisce con paese, operatore e liste di minacce, e ARX Shield segnala le vulnerabilità aperte sulle macchine monitorate.

Ultimo aggiornamento: 28 ottobre 2026