Operazione Iris, sei arresti e oltre 200mila file CSAM sequestrati

🛡️ Executive Summary

• L’operazione Iris ha portato a sei arresti e tre denunce per detenzione e condivisione online di materiale sullo sfruttamento minorile.
• Le perquisizioni tra Lombardia e Campania hanno consentito di sequestrare oltre 200mila immagini e video conservati sui dispositivi degli indagati.
• L’indagine è partita dal monitoraggio transnazionale degli account, con il coordinamento della Procura di Milano e del CNCPO.

La Polizia di Stato ha arrestato sei persone e ne ha denunciate altre tre nell’ambito dell’operazione Iris, un’indagine contro la detenzione e la diffusione online di materiale relativo allo sfruttamento sessuale dei minori. Le perquisizioni eseguite tra Lombardia e Campania hanno portato al sequestro di oltre 200mila file, tra fotografie e video. L’inchiesta, avviata nel dicembre 2025, è stata coordinata dalla Procura della Repubblica di Milano e condotta dal Centro operativo per la sicurezza cibernetica della Lombardia con il supporto del Centro nazionale per il contrasto alla pedopornografia online. Gli arrestati hanno un’età compresa tra 40 e 64 anni.

Sei arresti e tre denunce tra Lombardia e Campania

La fase esecutiva dell’operazione Iris ha coinvolto numerosi reparti territoriali della Polizia Postale, impegnati nell’identificazione degli indagati, nelle perquisizioni e nella prima acquisizione dei dispositivi informatici. Le sei persone arrestate risiedono in diverse aree del Paese: due a Milano, due nella provincia di Lodi, una nel Comasco e una a Napoli. Altre tre persone sono state denunciate dopo il ritrovamento di materiale informatico ritenuto rilevante per le indagini. Gli arresti sono stati eseguiti per la detenzione di ingenti quantità di contenuti collegati allo sfruttamento sessuale dei minori, mentre le singole responsabilità dovranno essere accertate nel corso del procedimento giudiziario. Gli indagati devono pertanto essere considerati non colpevoli fino a una sentenza definitiva. Alla fase operativa hanno partecipato le sezioni della Polizia Postale di Brescia, Varese, Mantova, Pavia, Bergamo e Como, insieme al Centro operativo per la sicurezza cibernetica di Napoli. La distribuzione territoriale dell’intervento mostra come le reti di condivisione non coincidano necessariamente con gruppi organizzati localmente: account e utenti possono operare da province lontane, collegandosi agli stessi circuiti digitali e trasferendo file attraverso piattaforme accessibili a livello internazionale.

Oltre 200mila immagini e video sequestrati

Durante le perquisizioni sono stati sequestrati computer, smartphone, supporti di memoria e altri dispositivi che avrebbero contenuto complessivamente oltre 200mila file, tra immagini e video. La quantità rappresenta uno degli elementi che hanno determinato l’arresto in flagranza delle sei persone, ma non deve essere interpretata soltanto come un indicatore numerico. Ogni contenuto può documentare un abuso, la reiterazione della violenza subita da una vittima e la successiva circolazione delle immagini in una rete potenzialmente illimitata. Nel contrasto al CSAM, acronimo di Child Sexual Abuse Material, la fase di sequestro costituisce soltanto l’inizio del lavoro investigativo. I dispositivi devono essere duplicati attraverso procedure forensi, i file classificati evitando alterazioni delle prove e i metadati confrontati con le banche dati nazionali e internazionali. Gli investigatori cercano di stabilire se i contenuti siano già conosciuti, se rappresentino abusi non ancora identificati e se sia possibile risalire a vittime, autori o luoghi. L’operazione arriva poche settimane dopo la maxi indagine internazionale che ha portato a 28 arresti e alla messa in salvo di tre bambini, confermando come l’identificazione delle vittime resti importante quanto l’individuazione di chi conserva e distribuisce i materiali.

L’indagine è partita dal monitoraggio dei canali transnazionali

L’inchiesta è stata avviata nel dicembre 2025 e si è sviluppata attraverso il monitoraggio continuativo dei canali utilizzati per distribuire e scaricare materiale illecito. Gli investigatori hanno seguito account, connessioni e flussi informativi riconducibili a utenti localizzati in Italia, analizzando una rete con caratteristiche transnazionali. Determinante sarebbe stata la collaborazione con un’organizzazione internazionale senza scopo di lucro, che ha contribuito a individuare alcuni degli account impiegati per condividere immagini e video. Le informazioni iniziali non sono state sufficienti da sole per procedere alle perquisizioni: la Polizia Postale ha dovuto collegare le identità digitali a persone fisiche, verificare la localizzazione degli accessi e raccogliere elementi utili a ottenere i provvedimenti dell’autorità giudiziaria. Numeri telefonici, indirizzi IP, dati forniti dalle piattaforme, cronologie di accesso e tracce di pagamento possono concorrere all’attribuzione, ma devono essere valutati insieme perché una singola evidenza tecnica può essere alterata, condivisa o utilizzata da più soggetti. La stessa logica investigativa aveva sostenuto l’operazione Lux contra tenebras contro la condivisione di materiale CSAM, nella quale l’attività digitale aveva consentito di individuare possessori e distributori operanti dietro account apparentemente anonimi.

CNCPO e Procura di Milano coordinano la risposta investigativa

L’operazione è stata coordinata dalla Procura della Repubblica di Milano e condotta dal Centro operativo per la sicurezza cibernetica della Lombardia, sotto il coordinamento operativo del CNCPO del Servizio Polizia Postale e per la sicurezza cibernetica. Il Centro nazionale svolge una funzione essenziale nel raccordo tra segnalazioni provenienti dalle piattaforme, cooperazione internazionale, analisi delle immagini e indagini territoriali. La diffusione dei contenuti oltre i confini nazionali rende infatti insufficiente una risposta limitata al luogo nel quale viene individuato un singolo utente. Un file può essere prodotto in un Paese, caricato su un’infrastruttura ospitata altrove e scaricato contemporaneamente da persone residenti in più continenti. Il coordinamento nazionale evita duplicazioni, collega procedimenti apparentemente separati e permette di confrontare hash crittografici e altri indicatori con archivi già disponibili. La cooperazione è risultata decisiva anche nell’operazione Mad Hatter, che ha consentito di identificare dodici minori vittime e produrre centinaia di piste investigative. La capacità di collegare un contenuto a una vittima reale è uno degli aspetti più complessi, perché immagini private di contesto, dettagli ambientali e informazioni tecniche possono diventare gli unici elementi utili a localizzare l’abuso.

Le piattaforme chiuse non rendono invisibili gli utenti

Le reti che distribuiscono materiale sullo sfruttamento minorile utilizzano servizi di messaggistica, spazi cloud, sistemi cifrati, forum ad accesso limitato e piattaforme nelle quali gli account vengono sostituiti rapidamente. La chiusura di un canale non determina la scomparsa del gruppo, che può migrare verso un’altra infrastruttura conservando parte delle relazioni precedenti. Gli utenti possono inoltre utilizzare reti private virtuali, identità fittizie e servizi di anonimizzazione per separare il profilo digitale dalla propria posizione. Questi strumenti aumentano la complessità dell’indagine, ma non cancellano automaticamente tutte le tracce. Errori operativi, accessi ripetuti, sincronizzazioni cloud, dispositivi sequestrati e dati conservati dai fornitori possono ricostruire il comportamento nel tempo. Anche i file possiedono caratteristiche tecniche confrontabili con contenuti già noti, permettendo di individuare duplicati senza dover analizzare manualmente ogni immagine. La lotta al CSAM richiede però particolare cautela, perché l’accesso investigativo deve rispettare procedure giudiziarie e preservare la validità della prova. L’obiettivo non consiste nella sorveglianza indiscriminata delle comunicazioni, ma nella ricostruzione mirata di condotte supportate da indicatori concreti e autorizzazioni dell’autorità giudiziaria.

Il sequestro apre il lavoro di identificazione delle vittime

La conclusione della fase operativa non coincide con la fine dell’indagine. Gli oltre 200mila file dovranno essere catalogati, deduplicati e confrontati con archivi nazionali e internazionali per separare il materiale già conosciuto da eventuali contenuti inediti. La presenza di immagini non ancora classificate può indicare abusi sconosciuti alle autorità e rendere necessario un lavoro di identificazione basato su dettagli visivi, audio, metadati e caratteristiche degli ambienti. Un oggetto sullo sfondo, una lingua, un’uniforme scolastica, un particolare architettonico o un rumore possono contribuire a localizzare una vittima. Il compito impone inoltre protocolli di tutela per gli operatori esposti ripetutamente a materiale traumatico. La Polizia Postale ha già condotto operazioni nelle quali l’analisi forense ha portato all’arresto di più persone e al sequestro di grandi archivi CSAM, mostrando che il risultato giudiziario immediato rappresenta soltanto una parte dell’attività. L’operazione Iris dovrà ora chiarire eventuali collegamenti tra gli indagati, provenienza dei contenuti, ruolo di ciascun account e presenza di ulteriori utenti non ancora identificati.