Webmail della polizia in vendita sul forum: cosa c’è di vero

🛡️ Executive Summary

• Il 31 agosto un account appena iscritto ha messo in vendita, su un forum criminale, un accesso descritto come webmail della polizia italiana e del ministero dell’Interno.
• L’annuncio cita Kodex, documenti investigativi, schede su persone e immagini di telecamere: è una lista di pretese, non un perimetro verificato.
• Viminale, ACN e Polizia Postale non hanno confermato nulla. Le caselle @interno.it e @poliziadistato.it sono già state usate per impersonare le forze dell’ordine.

Il 31 agosto 2026, sul tracker Dark Web Informer, compare un listing intitolato «Webmail – Police Italian». L’autore, nickname france0r, ha aperto il thread lo stesso giorno. L’account è iscritto ad agosto 2026, ha un post, un thread e reputazione zero. Non c’è un prezzo pubblico. C’è una bandiera italiana, la scritta «Ministero dell’Interno» e una nota in inglese secondo cui con quell’accesso si arriverebbe a Global Kodex, a documenti e informazioni legali su individui, a foto di telecamere di sicurezza in Italia e ai «portali» delle forze dell’ordine. I campi Samples e Session nello screenshot sono oscurati dal tracker. Quello che esiste, in questo momento, è un annuncio di vendita. Non è una notifica del Viminale, non è un bollettino ACN e non è un verbale della Polizia Postale.

Cosa dice l’annuncio e perché non basta

Il testo del listing è corto e massimalista. Promette webmail della polizia, portali di law enforcement, Kodex, recupero di atti, dati su persone, immagini da telecamere e ulteriori risorse. Il contatto è privato e nessuna prova tecnica indipendente è stata pubblicata oltre allo screenshot del thread. Un account nuovo che sostiene di poter vendere accessi estesi a un’infrastruttura istituzionale presenta tutti gli elementi che richiedono prudenza: il valore percepito viene alzato attraverso affermazioni difficili da verificare, mentre il controllo effettivo del materiale viene trasferito al compratore. Lo stesso Dark Web Informer precisa che autenticità, perimetro e validità non sono stati verificati. Trattare quel post come la prova di un incidente di Stato sarebbe quindi un errore di metodo. Ignorarlo completamente sarebbe però l’errore simmetrico, perché le caselle istituzionali italiane sono già state utilizzate come merce e come strumento di impersonificazione in operazioni criminali precedenti.

Kodex non è un archivio del Viminale

Nel listing compare «Global Kodex». Kodex è una piattaforma commerciale utilizzata da investigatori verificati per inoltrare richieste di dati a piattaforme digitali, operatori e VASP. L’accesso si basa, in linea di principio, su una mail governativa e su un processo di accreditamento. Non è SDI, non è AFIS e non è il fascicolo di una procura. Se un account di polizia viene realmente compromesso, il rischio concreto non consiste soltanto nella lettura della posta: può diventare possibile impersonare un operatore delle forze dell’ordine nei confronti di Google, Meta, Microsoft, operatori telefonici, exchange e altre aziende che gestiscono portali riservati alle autorità.

È lo stesso schema già emerso in Italia. Nel processo milanese relativo ai fatti del 2021-2022, sei ventenni utilizzarono due caselle autentiche del ministero dell’Interno e una dei Carabinieri per inviare richieste a Wind, Telecom, Vodafone, Iliad, Microsoft, TikTok, Amazon, Facebook, Snapchat, Google, NSO e Chainalysis. Il Viminale risultò persona offesa. Gli imputati riferirono di avere ricevuto le credenziali da nickname presenti sul web. Un listing del 2026 che associa webmail istituzionale e Kodex si colloca quindi sullo stesso asse operativo: la mail governativa come chiave d’ingresso verso i portali riservati alle forze dell’ordine.

Leggi anche: TeamSystem, data breach su Contabilità in Cloud: esfiltrati IBAN e movimenti

Le caselle @interno.it sono un bersaglio noto

Nel aprile 2025 una circolare sindacale della Polizia di Stato, originata dal Dipartimento della Pubblica Sicurezza, riconosceva esplicitamente un problema: le caselle @interno.it e @poliziadistato.it risultavano esposte al rischio di accessi abusivi perché utilizzate anche per richieste indirizzate alle piattaforme. La raccomandazione era quella di privilegiare i portali dedicati alle forze dell’ordine e, in attesa del doppio fattore di autenticazione, di non utilizzare le mail corporate personali per questo genere di comunicazioni. Nel luglio 2025 l’amministrazione civile dell’Interno comunicava inoltre la migrazione della posta ordinaria @interno.it da Zimbra/Aruba alla Convenzione Consip Microsoft Enterprise Agreement 6, coordinata con il Dipartimento della Pubblica Sicurezza per @poliziadistato.it. La migrazione non costituisce naturalmente una prova di compromissione, ma descrive un perimetro ampio, eterogeneo e in trasformazione, nel quale cookie di sessione, password riutilizzate, account compromessi o credenziali sottratte possono diventare materiale di valore nei mercati underground.

Un precedente quasi identico era già comparso nel 2025

Nel marzo 2025 era già circolato un annuncio analogo relativo a una presunta casella del ministero dell’Interno. Il venditore dichiarava di possedere circa 400 email e chiedeva 300 dollari, accompagnando il listing con una descrizione delle possibili attività criminali realizzabili attraverso quell’accesso. Anche allora il punto centrale non era dimostrare automaticamente la compromissione del ministero, ma valutare l’attendibilità del materiale e comprendere quanto valore possa avere un’identità istituzionale autenticata. Lo schema si ripete: cambia il nome dell’account, cambia la descrizione commerciale, ma resta invariato il valore attribuito alla credibilità derivante da un dominio governativo.

Telecamere e atti investigativi: il salto che va tenuto separato

La frase sulle foto delle telecamere di sicurezza in Italia e sui documenti investigativi è la parte più grave dell’annuncio, ma anche quella meno documentata. Un accesso alla webmail, da solo, non apre automaticamente centrali video comunali, archivi investigativi o sistemi interni della Polizia di Stato. Può però, se le credenziali sono autentiche, fornire accesso a ticket, allegati, link interni, reset password o comunicazioni di colleghi. Può inoltre, se l’account è accreditato su Kodex o su un portale law enforcement, consentire l’invio di richieste che appaiono legittime alle piattaforme private.

Il listing non dimostra una compromissione del ministero

Questo punto deve restare distinto dalla retorica commerciale del venditore. Non esistono elementi pubblici sufficienti per affermare che “sia caduto il Viminale” o che un attore disponga dell’accesso alle telecamere italiane. L’affermazione appartiene al venditore e rimane tale finché non emergono campioni tecnici verificabili, log, prove indipendenti o comunicazioni istituzionali. Il tricolore, il riferimento al Ministero dell’Interno e l’elenco di capacità dichiarate non costituiscono una verifica. Sul piano giornalistico, quindi, l’elemento accertabile è la presenza del listing, non l’effettiva compromissione delle infrastrutture descritte.

Cosa dovrebbe verificare lo Stato

Se l’accesso fosse autentico, le attività prioritarie sarebbero immediate: invalidare le sessioni, ruotare le credenziali, controllare eventuali account Kodex e portali law enforcement associati al dominio, ricostruire i log delle richieste inviate alle piattaforme e verificare eventuali accessi anomali alla posta. In presenza di dati personali effettivamente esposti entrerebbero poi in gioco gli obblighi di notifica previsti dal perimetro normativo applicabile, compreso il coinvolgimento di ACN e, quando necessario, del Garante per la protezione dei dati personali.

Anche un falso listing può produrre conseguenze reali

Se l’accesso fosse invece falso, la questione non diventerebbe automaticamente irrilevante. Annunci che utilizzano il nome del Viminale o della Polizia di Stato possono alimentare campagne di phishing, social engineering e truffe costruite attorno alla presunta disponibilità di account istituzionali. Un criminale può utilizzare lo screenshot come prova apparente di credibilità, offrire accessi inesistenti o sfruttare la notizia per costruire messaggi falsamente attribuiti alla Polizia Postale, alle prefetture o agli uffici immigrazione. La verifica istituzionale serve quindi sia in presenza di un incidente reale sia quando il listing è soltanto un tentativo di monetizzare informazioni false.

Continua con:

• Perimetro cibernetico, NIS2 e i silenzi dopo gli incidenti italiani
• Cloudflare, Piracy Shield e il nodo ACN su Milano Cortina

Nessuna conferma ufficiale al 31 agosto

Al 31 agosto 2026, in serata, non risulta una comunicazione pubblica del ministero dell’Interno, né un alert CSIRT Italia/ACN riferito specificamente al thread attribuito a france0r. Non emerge neppure una conferma pubblica della Polizia Postale che permetta di trasformare il listing in un incidente accertato. Questo è il punto che separa l’analisi di una possibile minaccia dalla certificazione di un breach: il forum documenta ciò che un venditore sostiene di possedere, non ciò che il Viminale ha effettivamente perso. Il precedente utilizzo criminale di caselle istituzionali rende l’annuncio meritevole di attenzione, ma proprio per questo la distinzione tra evidenza, rivendicazione e conferma deve restare netta. Finché non emergono elementi ulteriori, la formulazione corretta resta una sola: una presunta webmail della polizia italiana è stata messa in vendita; l’autenticità dell’accesso e il perimetro dichiarato non sono confermati.