Fly Trap smantella New Saga: Telegram, crypto e cloud dietro la rete CSAM

🛡️ Executive Summary

• L’operazione Fly Trap ha colpito New Saga, comunità privata su Telegram con oltre mille partecipanti e accesso tramite criptovalute o nuovi contenuti CSAM.
• Gli investigatori sono entrati nella rete fino a ottenere privilegi da co-amministratori, acquisendo 282 GB di materiale e ricostruendone infrastruttura e gerarchie.
• L’indagine ha prodotto sei custodie cautelari, dieci arresti in flagranza e un fermo, oltre a 996 utenze estere trasmesse alla cooperazione internazionale.

Non era un semplice gruppo Telegram utilizzato per scambiare file. New Saga funzionava come una comunità criminale organizzata, con amministratori, regole di accesso, pagamenti in criptovaluta, canali riservati, archivi cloud, server virtuali, bot e assistenza tecnica destinata a nascondere il materiale. L’operazione Fly Trap, coordinata dalla Direzione distrettuale antimafia della Procura di Roma e condotta dal CNCPO della Polizia Postale, ha portato complessivamente a sei ordinanze di custodia cautelare in carcere, dieci arresti in flagranza e un fermo di indiziato di delitto. L’elemento decisivo dell’indagine è stato però tecnologico e investigativo: gli agenti sono riusciti a penetrare la struttura fino a diventare co-amministratori dei canali.

New Saga chiedeva criptovalute o nuovo materiale per restare nel gruppo

L’indagine, avviata nel 2024 dopo informazioni condivise dalla statunitense Homeland Security Investigations, ha individuato su Telegram il gruppo privato New Saga. Secondo la documentazione diffusa dalla Polizia di Stato sull’operazione Fly Trap, la comunità superava i mille partecipanti ed era regolata da meccanismi di ingresso e permanenza molto precisi. Gli utenti potevano mantenere l’accesso pagando piccole somme in criptovaluta, indicate come “donazioni”, oppure fornendo nuovo materiale CSAM. Il sistema trasformava così il gruppo in una struttura nella quale pagamento e produzione di nuovi contenuti diventavano alternativamente una forma di abbonamento.

L’analisi delle transazioni in criptovaluta ha consentito agli investigatori di arrivare a uno degli amministratori, un ventiquattrenne residente in Campania. L’identificazione ha aperto la strada alla successiva attività sotto copertura. Il ruolo dei flussi finanziari conferma un modello già evidenziato nel report 2026 della Polizia di Stato sul contrasto al CSAM: piattaforme di messaggistica, wallet, identità digitali e cooperazione internazionale sono ormai parti dello stesso terreno investigativo.

Leggi anche: Lotta alla pedofilia online: arresti +52% nel 2025 e nuove reti CSAM sotto indagine

Gli agenti diventano co-amministratori e osservano la rete dall’interno

Il passaggio più rilevante di Fly Trap è stato l’ingresso degli investigatori nella struttura organizzativa. Gli agenti hanno costruito progressivamente un rapporto di fiducia con i vertici fino a ottenere credenziali da co-amministratore nei diversi gruppi. La rete reagiva alle chiusure ricreando continuamente i canali sotto nomi differenti, in modo da mantenere riconoscibilità per i partecipanti abituali e rendere più difficile il tracciamento dall’esterno.

L’operazione ha documentato anche canali dedicati esclusivamente alla gestione interna, tra cui “La Sala dei Re”, utilizzati dai membri con funzioni amministrative. La struttura disponeva inoltre di server virtuali, archivi cloud, sistemi di crittografia e bot automatizzati destinati alla moderazione e al ripristino delle chat. Gli amministratori fornivano agli utenti anche indicazioni tecniche su come nascondere e conservare i file riducendo il rischio di individuazione da parte delle forze dell’ordine. Telegram rappresentava quindi soltanto il livello visibile di un’infrastruttura composta da più servizi.

La capacità di ricostruire questa gerarchia dall’interno è ciò che distingue Fly Trap da un normale sequestro di dispositivi. Durante le sole operazioni sotto copertura sono stati acquisiti oltre 282 gigabyte di materiale, comprendenti più di 22 mila video e 34 mila immagini.

Ventitré perquisizioni portano al sequestro di circa 200 dispositivi

La fase operativa ha coinvolto oltre cento agenti della Polizia Postale, affiancati dalla Polizia Scientifica e da osservatori di HSI. Le 23 perquisizioni locali e informatiche hanno interessato diverse aree del territorio nazionale e portato al sequestro di circa 200 dispositivi elettronici. Dieci persone sono state arrestate in flagranza nelle province di Torino, Milano, Padova, Fermo, Cagliari, Palermo e Treviso dopo il rinvenimento di archivi criptati o nascosti.

Parallelamente sono state eseguite sei ordinanze di custodia cautelare in carcere nei confronti di soggetti indicati dagli investigatori come vertici o partecipanti principali, residenti tra Napoli, Barletta, Verona, Messina, Genova e Svizzera. L’intervento sul territorio svizzero ha inoltre consentito di acquisire elementi su un ulteriore presunto amministratore, un ventiseienne della provincia di Cremona sottoposto a fermo. Le responsabilità individuali e le ipotesi accusatorie dovranno essere accertate definitivamente nelle sedi giudiziarie competenti.

Le 996 utenze estere trasformano Fly Trap in un’indagine internazionale

La rete non si fermava ai confini italiani. Gli investigatori hanno individuato 996 utenze riconducibili a Paesi esteri, trasferendo le risultanze alle autorità competenti attraverso i canali di cooperazione internazionale con il supporto di Europol e Interpol. L’obiettivo non è soltanto identificare eventuali partecipanti stranieri, ma anche individuare e mettere in sicurezza i minori presenti nel materiale.

Diversi Paesi hanno già avviato procedimenti collegati ed eseguito arresti tra gli utenti di New Saga. La dimensione transnazionale è coerente con quanto emerso nelle precedenti operazioni contro la distribuzione di CSAM: un gruppo può essere amministrato da un Paese, utilizzare infrastrutture situate altrove, ricevere criptovalute attraverso wallet internazionali e avere partecipanti distribuiti su più continenti. Il precedente monitoraggio di Matrice Digitale sulla cooperazione tra Telegram e autorità statunitensi aveva già mostrato quanto identificazione degli account e richieste investigative siano diventate centrali anche sulle piattaforme considerate più difficili da penetrare.

Continua con:

• CSAM: due arresti confermano l’impegno della Polizia Postale
• CSAM, sicurezza e privacy: Apple e Meta affrontano sfide e accuse

Fly Trap dimostra che l’anonimato cede quando infrastruttura e denaro vengono correlati

New Saga cercava continuità attraverso nomi mutevoli, crittografia, cloud, bot, server virtuali e criptovalute, ma proprio la quantità di componenti necessaria a mantenere operativa la comunità ha creato più punti investigabili. Una transazione può essere correlata a un’identità, un dispositivo sequestrato può ricostruire rapporti tra utenti, un agente sotto copertura può osservare privilegi e gerarchie che dall’esterno resterebbero invisibili.

Fly Trap mostra quindi il limite strutturale delle comunità criminali organizzate sulle piattaforme digitali. Più una rete cresce, più deve amministrare utenti, pagamenti, contenuti, backup, moderazione e continuità del servizio. L’organizzazione necessaria per proteggere l’anonimato produce a sua volta tracce, ruoli e dipendenze tecniche. Nel caso New Saga, l’indagine non si è fermata al canale Telegram: ha seguito contemporaneamente denaro, identità, dispositivi e infrastruttura fino a trasformare una comunità apparentemente chiusa in una mappa investigativa estesa a quasi mille utenze straniere.