Presunta violazione al Comune di Firenze: cosa sappiamo (e cosa no) e come difendersi

Annuncio su forum underground: “accesso e database del Comune di Firenze in vendita a 1.500$”. Nessuna conferma ufficiale dall’ente al momento. Trend in crescita per PA locali: esempi recenti e misure immediate.

TL;DR

• Il 12/09 è comparso in un forum underground un annuncio che offrirebbe accesso e database del Comune di Firenze a 1.500$; la segnalazione pubblica è stata rilanciata da Red Hot Cyber. Autenticità non verificabile e nessun comunicato ufficiale del Comune finora. il blog della sicurezza informatica+1
• Campioni descritti: dati anagrafici strutturati (idResidente, CF, nome, cognome, data di nascita, ecc.). Da considerare non confermati. il blog della sicurezza informatica
• Il caso si inserisce in un trend di pressione sulle PA locali (es. Comune di Pisa – rivendicazione “NOVA”; hotel italiani con decine di migliaia di documenti d’identità in vendita). Edoardo Limone+2Garante Privacy+2

Stato dei fatti (al 15/09/2025)

• Fonte primaria: articolo di Red Hot Cyber (12/09) che riporta l’annuncio dell’utente “krektti” e chiarisce l’assenza di verifiche indipendenti e di note ufficiali dell’ente. il blog della sicurezza informatica
• Canali istituzionali: nella sezione “Comunicati stampa” del Comune (11–13/09) non risultano avvisi relativi a incidente cyber. Città di Firenze
• Contesto locale: il 20/08 il Comune ha pubblicato un vademecum di sicurezza digitale per i cittadini (iniziativa di awareness, non collegata all’episodio). Città di Firenze

Conclusione provvisoria: ad oggi parliamo di presunta violazione. Servono riscontri tecnici o comunicazioni ufficiali.

Perché l’annuncio merita attenzione

• Schema tipico da Initial Access Broker: vendita di accessi/dump per favorire phishing mirato, frodi identitarie, eventuali step ransomware. il blog della sicurezza informatica
• Precedenti utili in Italia:
  • Comune di Pisa (maggio 2025): rivendicazione del gruppo NOVA e dichiarazione di 2 TB sottratti. Edoardo Limone
  • Settore Hospitality (ago 2025): decine di migliaia di scansioni di documenti d’identità rubate a hotel italiani e messe in vendita; allerta CERT-AgID e avvio di verifiche del Garante Privacy. AgID+1

Implicazioni di rischio

Per l’Ente

• Esposizione di dati anagrafici → rischio impersonation verso cittadini/fornitori/uffici; possibile escalation tecnica (movimenti laterali).
• Compliance: se la violazione fosse confermata, obblighi di notifica al Garante entro 72 ore (art. 33 GDPR) ed eventuale comunicazione agli interessati (art. 34).

Per i cittadini

• Phishing mirato e truffe di social engineering basate su dati anagrafici.
• Possibili furti d’identità (aperture fraudolente, account takeover).

Cosa dovrebbe fare subito una PA in casi analoghi (playbook operativo)

1. Containment & triage: isolamento asset coinvolti; rotation credenziali privilegiate; review di log/EDR/SIEM (query mass batch, job anomali, traffico out-of-hours).
2. Forensics & threat intel: snapshot/chain of custody; validazione campioni; dark web monitoring su pattern locali (CF/ID, toponimi).
3. Coordinamento: ingaggio CSIRT/ACN e Polizia Postale; early-warning a strutture consorziate/regionali (es. CSIRT Toscana). csirt.regione.toscana.it
4. Compliance & comunicazione: se confermato, notifiche GDPR + pagina pubblica FAQ con istruzioni (reset, 2FA, contatti).
5. Hardening rapido: MFA estesa, PAM per account privilegiati, patching accelerato, segmentazione rete, chiusura pannelli esposti, backup offline testati.

Cosa possono fare i cittadini (riassunto pratico)

• Abilitare 2FA e cambiare password riutilizzate; diffidare di comunicazioni “troppo personalizzate”.
• Verificare eventuale esposizione e segnalare tentativi sospetti ai canali ufficiali del Comune.

Trend & precedenti (per contestualizzare)

• Pisa (05/2025): rivendicazione “NOVA”, claim fino a 2 TB di dati. Edoardo Limone
• Hotel (08/2025): allerta CERT-AgID e comunicazione del Garante su migliaia di documenti in vendita nei forum underground. AgID+1

Nota: aggiorneremo questo articolo se compaiono comunicati ufficiali del Comune, alert ACN/CSIRT o indicatori tecnici verificati (IOC/IOA).

Fonti principali: Red Hot Cyber (12/09/2025); Comunicati stampa Comune di Firenze (11–13/09/2025, nessuna nota su breach); Vademecum sicurezza digitale del Comune (20/08/2025); Caso Pisa (05/2025); Allerta CERT-AgID e nota del Garante su hotel (08/2025). Garante Privacy+5il blog della sicurezza informatica+5Città di Firenze+5