AfD: hosting compromis, 421.000 de e-mailuri într-o arhivă online

Partidul german Alternative für Deutschland (AfD) a confirmat pe 19 octombrie 2026 că, în septembrie, un furnizor de hosting folosit de partid a fost compromis și că au fost copiate câteva căsuțe de e-mail. În aceleași ore, site-ul anonim hexane.cc publica indexul a ceea ce susține că este o arhivă de 421.179 de e-mailuri interne. Potrivit lui Graham Cluley, întregul material, 281 GB de mesaje și peste 100.000 de fișiere, poate fi descărcat prin torrent.

Ce s-a întâmplat

• Septembrie 2026: potrivit partidului, atac asupra furnizorului de hosting și copierea unor părți din câteva căsuțe. Cel mai recent mesaj din index datează din 12 septembrie 2026, conform analizei contului International Cyber Digest (ICD), preluată de Security Affairs și de Cluley.
• 19 octombrie: hexane.cc apare online, iar partidul confirmă incidentul pentru cotidianul Bild. După-amiază, paginile site-ului care îi explică metoda și scopul returnează erori de server (Security Affairs).
• 23 octombrie: heise Security relatează revendicarea atacului de către presupușii autori. Potrivit lui Cluley, cel care a publicat datele spune că vrea să arate „degenerarea și ipocrizia” partidului și susține că a primit, de la o adresă Proton Mail, o ofertă de 100.000 de euro pentru a închide site-ul.

Versiunea partidului este limitată: atacatorii ar fi copiat părți din câteva căsuțe, în mare parte nefolosite de ani de zile, fără acces la conturile actuale ale conducerii. Datele mesajelor din index, până pe 12 septembrie, pun la îndoială această reconstituire, după cum observă atât Security Affairs, cât și Cluley.

Detalii tehnice

Nu au fost comunicate CVE-uri sau produse software afectate. Ce se știe:

• Accesul inițial: atacatorul a declarat pentru ICD că a intrat printr-un „singur site al partidului neactualizat” și că de acolo a ajuns la serverele de e-mail. Partidul confirmă doar atacul asupra furnizorului de hosting; metoda de intrare nu a fost verificată independent. Dacă se confirmă, ar fi vorba de exploatarea unei aplicații expuse public (MITRE ATT&CK T1190), urmată de o deplasare spre e-mail pe aceeași infrastructură.
• Colectare și staging: numele fișierelor din arhivă indică un server numit „afd_exfil”, etichetă folosită de obicei pentru sistemul pe care se adună datele înainte de a fi scoase din rețea (colectarea e-mailurilor T1114, date în staging T1074).
• Publicarea: hexane.cc nu afișează e-mailurile, ci rezumate scrise de un software de IA, împărțite pe categorii precum rasism și antisemitism și clasificate de la Low la Critical; software-ul folosit nu este precizat. Potrivit Security Affairs (20 octombrie), la deschiderea unei înregistrări apare „source text not published for this record” și niciun rezumat nu era legat de un original verificabil. Potrivit lui Cluley (23 octombrie), site-ul trimite la torrent pentru originalele complete, cu antete, text, atașamente și semnături DKIM.
• Fiabilitatea: surse din partid citate de Cluley consideră e-mailurile autentice, dar semnalează mai multe inexactități în rezumate. Bild, singura publicație germană despre care se știe că a examinat direct un mic eșantion, a găsit acte de identitate, facturi, extrase de cont, cereri de aderare și liste regionale ale membrilor cu nume și adrese de domiciliu, deși site-ul susține că a redus la minimum datele personale.

Semnăturile DKIM sunt detaliul cel mai important pentru verificare: permit să controlezi că un mesaj nu a fost modificat, cât timp cheia publică a domeniului expeditor este disponibilă. Un rezumat generat de IA, în schimb, nu poate fi verificat.

Cluley amintește și un episod anterior: pe 3 septembrie, purtătorul de cuvânt al grupului AfD din parlamentul Turingiei a avertizat că, de pe căsuța lui de serviciu, fuseseră trimise e-mailuri de phishing cu atașamente PDF. Nicio sursă nu leagă episodul de compromiterea hostingului.

Impactul pentru companiile europene și italiene

Victima este un partid, dar schema privește multe organizații: un site uitat sau neactualizat pe aceeași infrastructură cu e-mailul, nicio separare între cele două, căsuțe inactive de ani de zile încă pline de corespondență și atașamente.

Pentru GDPR, cererile de aderare și listele membrilor unui partid dezvăluie opinii politice, o categorie specială de date (articolul 9); același lucru e valabil pentru sindicate, asociații și organizații religioase. O scurgere de acest tip implică un risc ridicat pentru persoane și cere de regulă atât notificarea autorității de supraveghere, cât și informarea persoanelor vizate.

Punctul de intrare declarat este un furnizor de hosting: pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024) securitatea lanțului de aprovizionare este una dintre măsurile cerute, iar furnizorii de servicii gestionate, cloud și centre de date pot intra ei înșiși sub incidența directivei.

În fine, există un risc pentru curioși: Cluley nu recomandă descărcarea torrentului, pentru că în trecut torrente legate de subiecte de actualitate au fost folosite pentru a distribui malware și pentru că manipularea datelor personale furate poate avea consecințe juridice.

Ce să faci imediat

1. Fă inventarul site-urilor expuse, inclusiv cele locale, de campanie sau ale proiectelor încheiate: actualizează-le sau oprește-le.
2. Separă web-ul de e-mail: servere, conturi de administrare și credențiale diferite; un site compromis nu trebuie să dea acces la căsuțe.
3. Gestionează căsuțele inactive: dezactivează conturile nefolosite, aplică o politică de păstrare, arhivează offline sau șterge e-mailurile care nu mai sunt necesare.
4. Urmărește exporturile: descărcări IMAP masive, exporturi de căsuțe, transferuri mari spre exterior de pe serverele de e-mail, accese administrative din origini noi.
5. Revizuiește contractele cu furnizorul de hosting: termene de notificare a incidentelor, acces la loguri, segmentare între clienți.
6. Interzice descărcarea arhivelor furate pe dispozitivele companiei și blochează clienții torrent acolo unde nu sunt necesari.
7. Pregătește răspunsul: evaluarea riscului pentru persoanele vizate și notificarea autorității în 72 de ore, cu atenție deosebită la datele din categorii speciale.

Cum ajută ARXDOME

ARX Expose arată ce vede un atacator din exterior, inclusiv serviciile expuse vulnerabile și conturile companiei implicate în breșe cunoscute: te ajută să găsești site-ul uitat înaintea altcuiva. ARX Shield semnalează vulnerabilitățile deschise pe mașinile monitorizate, iar ARX Sentry colectează loguri și evenimente de pe servere și firewalluri, utile pentru a observa accese și transferuri anormale.

Ultima actualizare: 23 octombrie 2026