Un venditore che si firma «weykofa» offre su un forum del dark web un presunto archivio di 302 file, per circa 222 megabyte, attribuito alla Direzione investigativa antimafia (DIA). L’annuncio, pubblicato l’8 novembre 2026, promette dossier operativi, informazioni su organizzazioni criminali e documentazione legata alla cooperazione con Europol. Non è stata però dimostrata l’autenticità dei file, né risulta dimostrato un accesso abusivo ai sistemi della DIA da parte dell’attore malevolo.
Al momento, non ci sono ancora conferme né di una violazione informatica né della presenza di atti riservati, e molti dei documenti citati risultano già pubblici.
La segnalazione è circolata su X attraverso l’account di monitoraggio Dark Web Informer ed è stata ripresa da diverse testate, tra cui Fanpage, che riferisce di aver chiesto chiarimenti alla DIA senza aver ancora ricevuto risposta. L’annuncio chiede ai potenziali acquirenti di fare un’offerta e indica Bitcoin o Monero come mezzi di pagamento. Il nome del dominio istituzionale, esibito nel titolo del post, identifica il bersaglio rivendicato dal venditore: da solo non documenta l’origine dei dati o la compromissione di un server.
La presunta fuga di dati della DIA: affermazioni e riscontri
| Elementi dell’annuncio | Che cosa è verificabile |
|---|---|
| 302 file, 222,3 MB | Cifre dichiarate dal venditore; archivio e contenuto non autenticati |
| 25 organizzazioni criminali | Numero presente nella descrizione; non verificata l’esistenza dei dossier |
| Rete @ON: 55 forze di polizia, 45 Paesi | Gli stessi numeri compaiono sul sito pubblico della DIA |
| Dossier, foto inedite, comunicazioni UE | Tipologie promesse nell’annuncio; nessun documento autentico verificato |
| Intrusione nei sistemi della DIA | Non comprovata dalla schermata o dalle fonti consultate |
Fonti: schermata dell’annuncio attribuito a «weykofa» (8 novembre 2026); DIA, pagina ufficiale rete @ON; Fanpage, 9 novembre 2026. Le cifre del venditore non sono dati accertati.
Indice degli argomenti
Databreach DIA: il dettaglio che si può controllare: i numeri della rete @ON sono pubblici
La descrizione del pacchetto parla di un presunto «dump» del portale e delle interfacce della rete @ON, l’iniziativa di cooperazione antimafia guidata dalla DIA. Nel post compaiono 55 organismi di polizia di 45 Paesi. Il punto è che il sito ufficiale della stessa DIA pubblica esattamente quei valori: «55 FF.PP., in rappresentanza di 45 Paesi».
Da un controllo dell’abstract della rete @ON pubblicato dalla DIA il 31 ottobre 2025 si osserva la presenza della medesima frase. Le versioni precedenti dello stesso documento hanno cifre più basse (per esempio 45 forze di polizia di 39 Paesi a marzo 2024), quindi l’attore malevolo dietro l’annuncio ha usato il dato più recente, il che è compatibile con l’uso di fonti aperte ma non lo dimostra.
Nella stessa pagina istituzionale sono spiegati anche il lavoro con Europol, le missioni operative, gli incontri tra le forze di polizia e le categorie di spesa supportate dalla rete: operazioni sotto copertura, informatori e interpretariato. L’annuncio del venditore richiama proprio attività, documentazione finanziaria e corrispondenza europea. Questa coincidenza non dimostra che l’intero elenco sia stato copiato da fonti aperte; dimostra però che almeno alcuni dettagli utilizzati per accreditare la vendita sono già pubblici.
La DIA descrive la cooperazione internazionale come una componente ordinaria della lotta alle mafie e il ministero dell’Interno ne illustra le funzioni investigative e i rapporti con le polizie straniere. L’eventuale presenza di riferimenti a Europol in un elenco di file non dimostrerebbe, di per sé, una violazione dei sistemi di Europol: per stabilire chi abbia subìto un accesso non autorizzato servirebbe ricostruire la provenienza concreta dei documenti.
Che cosa rivendica «weykofa» su DIA e perché mancano ancora le prove
Secondo il testo dell’inserzione, l’archivio conterrebbe informazioni su 25 gruppi della criminalità organizzata, 14 dossier di operazioni del 2023, 21 schede operative e materiale risalente al periodo 2018-2022. Compaiono inoltre riferimenti a progetti di analisi Europol, rapporti su fondi europei, fotografie di blitz non pubblicate, comunicati stampa sotto embargo, statistiche interne, informazioni sul personale e documentazione contabile. Sono tutte affermazioni del venditore, non un inventario accertato dei documenti sottratti.
Nella schermata circolata online compare la parola «SAMPLE», ma non è visibile un insieme di documenti che permetta un controllo indipendente. Anche Fanpage riferisce di non aver trovato, nell’offerta descritta, un campione verificabile. Non si conoscono nomi e hash dei file originali, né una verifica di provenienza o una ricostruzione forense. I file potrebbero essere autentici, contenere materiale già pubblico, essere stati assemblati da fonti diverse o non esistere nella forma reclamizzata.
La verifica deve rispondere a tre questioni distinte: i documenti esistono, sono davvero riservati e da dove provengono? Perfino una prova della loro autenticità lascerebbe aperta la modalità di acquisizione: potrebbe trattarsi dell’accesso a un sistema istituzionale, di documenti ottenuti da un soggetto terzo, di un account compromesso oppure di materiale già circolato in precedenza. È una distinzione decisiva prima di parlare di attacco riuscito contro la DIA.
Un precedente utile a capire che una fuga di informazioni non coincide sempre con un attacco informatico dall’esterno. Il caso emerso nel 2023 riguardava la Direzione nazionale antimafia (DNA), un organismo diverso dalla DIA, e le indagini sugli accessi abusivi alle banche dati a sua disposizione, con l’ipotesi, secondo le ricostruzioni giornalistiche, di un dossieraggio abusivo nato all’interno della stessa struttura.
In una vicenda di questo tipo il problema non è un hacker che viola un sistema, ma l’uso improprio di un accesso che esiste già. Il paragone non prova nulla sul caso DIA: ricorda solo che, se un documento autentico emergesse, resterebbe da stabilire come è uscito, cioè per un attacco esterno, per l’uso improprio di un accesso legittimo, per un errore o per una fuga da un provider di servizi. Per questo la provenienza dei file resterebbe una questione aperta.
Le tre verifiche decisive (apri ogni voce)
1. Esistenza e integrità dell’archivio
Serve un inventario verificabile dei file e la possibilità di controllarne integrità, date e struttura senza diffondere dati investigativi sensibili. Le sole cifre «302 file» e «222,3 MB» non sono una prova.
2. Autenticità e riservatezza dei contenuti
Occorre stabilire se il materiale sia riconducibile alla DIA o ai partner e se contenga informazioni non pubbliche. I dati già pubblicati sul progetto @ON non bastano a farlo.
3. Origine dei file e perimetro dell’accesso
Log, evidenze di accesso e accertamenti degli enti coinvolti dovrebbero chiarire se vi sia stata un’intrusione, un account abusato, una fuga da partner o un riuso di materiale pubblico.
I rischi per le indagini antimafia, se i documenti fossero autentici
Il valore di un eventuale furto non dipenderebbe soprattutto dal peso in megabyte. Un singolo dossier su un’indagine in corso potrebbe rivelare soggetti sotto osservazione, collegamenti tra organizzazioni, operazioni non ancora eseguite o informazioni raccolte attraverso la cooperazione con altri Paesi. Una lista di personale o collaboratori avrebbe rischi diversi da un comunicato stampa già destinato alla pubblicazione.
Se tra i file ci fossero davvero fotografie inedite, piani di operazioni o comunicazioni riservate con altre autorità, la diffusione potrebbe compromettere attività investigative, mettere in pericolo persone e rendere più difficili gli scambi informativi tra le forze di polizia. Sono scenari condizionati alla natura effettiva dei documenti: la descrizione commerciale del venditore non permette di attribuire oggi questi danni alla DIA.
La stessa distinzione vale per la catena di responsabilità. In caso di conferma, andrebbero identificati i sistemi e i soggetti coinvolti, la data dell’eventuale accesso, i dati interessati e il loro possibile riutilizzo. Attribuire la responsabilità a un gruppo o a uno Stato richiederebbe ulteriori evidenze: il nome «weykofa» nell’annuncio non offre un’attribuzione affidabile e non autorizza collegamenti automatici con le altre operazioni cyber di questi giorni.
Anche ammesso che i file siano in gran parte pubblici, la vicenda presenta rischi che non dipendono dall’autenticità dell’archivio.
Il primo rischio è la mescolanza. Un archivio che unisce materiale pubblico e qualche documento falso o manipolato risulta credibile proprio perché in parte verificabile: chi controlla i numeri della rete @ON e li trova giusti è portato a fidarsi anche del resto. È lo stesso meccanismo che rende utili, per chi vuole ingannare, i campioni “ripuliti” e le cifre esatte messe in evidenza.
Il secondo rischio è la truffa o l’estorsione. Annunci di questo tipo possono servire a incassare da acquirenti ingenui o a fare pressione sull’ente citato, anche senza alcun furto alle spalle. L’assenza di un campione verificabile è un segnale tipico di questo scenario, anche se non lo dimostra. Il terzo è l’ingegneria sociale: pure con file innocui, un insieme di nomi di uffici, formati dei documenti e riferimenti a Europol può rendere più credibili email di phishing a tema antimafia rivolte a dipendenti e partner.
Il quarto rischio riguarda la disinformazione e il modo in cui il pubblico percepisce l’accaduto, e secondo me è il più sottovalutato. Titoli come “dossier segreti dell’antimafia in vendita” lasciano l’idea di una violazione avvenuta, anche quando il testo sotto dice il contrario, e chi legge solo il titolo difficilmente tornerà a controllare. Quell’impressione può restare anche se in seguito emerge che i file erano pubblici o inesistenti, perché una smentita raggiunge di rado le stesse persone della notizia iniziale. Ne risultano due effetti opposti: da un lato si diffonde l’idea che le istituzioni antimafia siano vulnerabili e incapaci di proteggere i propri dati, dall’altro, a forza di allarmi rivelatisi infondati, cala l’attenzione verso quelli veri. In entrambi i casi chi mette in vendita l’archivio, vero o falso, guadagna visibilità e credibilità senza aver dimostrato nulla.
Il quinto rischio è il costo della verifica. Anche un annuncio falso obbliga le istituzioni a controlli e comunicazioni, sottrae risorse e può incrinare la fiducia dei partner internazionali. È un danno che non dipende dall’autenticità dei file. L’ultimo rischio riguarda chi diffonde: chi ripubblica o condivide dati provenienti da attività illecite può violare la normativa sulla protezione dei dati personali, come ricorda il Garante a proposito del caso Tajani, citato più avanti.
Le verifiche istituzionali e il rischio di amplificare il mercato dei dati
Il primo riscontro atteso riguarda dunque l’eventuale conferma o smentita da parte della DIA e, se emergessero documenti di cooperazione internazionale, delle istituzioni coinvolte. Sul portale dei comunicati della DIA, consultato il 9 novembre, gli ultimi aggiornamenti visibili sono relativi alle operazioni investigative del 6 novembre e non contengono una conferma pubblica della rivendicazione.
Nel frattempo la divulgazione incontrollata di presunti file rubati rischierebbe di trasformare una segnalazione non verificata in un veicolo di ulteriore esposizione. In un caso distinto, il 7 novembre, il Garante per la protezione dei dati personali ha richiamato i media, in relazione ai dati di Antonio Tajani circolati nel dark web, alle responsabilità connesse alla diffusione di informazioni personali di origine illecita. È un precedente diverso, ma ricorda perché la verifica giornalistica non richiede di ripubblicare documenti sensibili.
Nel caso del Ministro Tajani, il collettivo filorusso NoName057(16) ha pubblicato su un sito ospitato nel dark web, schede con curriculum, dati pubblici, numeri di telefono privati, email e indirizzi di una lista di 18 persone ritenute ostili a Mosca, e offerto denaro per ottenere altre informazioni. Fra gli altri compaiono il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. Il ministro ha parlato di minacce e intimidazioni anche verso la famiglia, come riporta LaPresse, e la Procura di Roma indaga.
Il punto che ci riguarda: leggere la notizia con proporzione. Una parte delle informazioni contenute in quelle schede, come il curriculum, è reperibile da fonti aperte; le cronache parlano però anche di numeri privati, ma verifiche ulteriori dimostrano che si tratta di numeri reperibili online con semplici ricerche. Ciò che rende la vicenda seria non è l’originalità dei dati ma l’uso: schede messe insieme, pubblicate e accompagnate da una taglia per ottenere altro. Il danno sta nell’intimidazione e nell’amplificazione, che i titoli urlati finiscono per aiutare.
Lo stesso vale per il caso DIA. Un annuncio con cifre giuste e promesse enormi non è una prova di intrusione. Per ora la cosa più prudente è lo scetticismo informato: evitare titoli come «dossier segreti dell’antimafia in vendita», non ripubblicare né cercare i presunti file, aspettare la conferma delle istituzioni e distinguere sempre tra ciò che il venditore dice, ciò che è pubblico e ciò che è dimostrato. Non è un invito a sottovalutare, perché le operazioni di pressione e di disinformazione funzionano anche quando non rubano nulla. Allarmismo e minimizzazione servono entrambi a chi vende.
La notizia, per ora, deve essere circoscritta: un venditore sostiene di possedere 302 file attribuiti alla DIA e cerca acquirenti. I riferimenti alla rete @ON confermano che la descrizione usa dettagli plausibili, alcuni dei quali già pubblici. L’esistenza di un vero archivio riservato, un’esfiltrazione e una violazione dell’infrastruttura antimafia rimangono invece questioni aperte. Saranno gli accertamenti sui documenti e le comunicazioni degli enti interessati a stabilire se dietro l’annuncio ci sia un incidente di sicurezza.
Partecipa alla community