https://www.safestate.com/post/fbi-director-kash-patels-personal-email-hacked-by-iran-linked-group

Il direttore dell’FBI aveva un account Gmail

Era venerdì mattina, fuori pioveva, e al Bar di Gigi si parlava del direttore dell'FBI.
Non perché fosse una mattina normale.
Ma perché qualcuno aveva appena pubblicato su internet le sue email personali, le sue foto di vacanza, il suo curriculum con il numero di telefono di casa.

Handala, gruppo hacker legato all'Iran, non ha bucato i sistemi dell'FBI.
Ha bucato il suo account Gmail.
Come nei migliori film degli anni Ottanta: non si entra dalla porta blindata. Si passa dal garage.

Cronache del Sottosopra, con geopolitica, metadati, Leonard Nimoy e un cornetto integrale.

Cronache del Sottosopra, Aprile 2026

Era fine marzo, venerdì mattina, una di quelle giornate romane strane in cui non sai che metterti, se ti copri hai caldo, se ti scopri hai freddo e se ti vesti a cipolla ti bagni perché la pioggia non era prevista, e al Bar di Gigi si respirava quell’aria particolare che hanno le mattine del fine settimana, quel finalmente è venerdì che nessuno osava esternare perché poteva andare peggio … potrebbe piovere e, infatti, fuori pioveva. A Roma la pioggia è una maledizione divina, chi è di Roma lo sa, chi non lo è non lo immagina. 

Dentro al bar, con i cartoni per terra ad aiutare i clienti a non finire per terra, tre persone con la stessa aria di chi non ha ancora deciso se la giornata valga la pena di essere vissuta: Paolo al solito posto con il telefono in mano e un cornetto integrale che aspettava disperatamente un po’ d’attenzione, Andrea in piedi al bancone che parlava con Gigi di una cosa che riguardava la Nazionale e di come si cambiava tutto per non cambiare niente nonostante tre partecipazioni ai mondiali perse. Tuttavia nessuno dei due sembrava particolarmente convinto. Francesco, arrivato per ultimo, aveva lanciato la giacca bagnata sulla sedia di fianco e ordinato il solito caffè al vetro con l’espressione di chi ha già letto troppe cose nel tragitto dalla metro al bar. Gigi il caffè lo aveva già preparato e mentre lo metteva sul bancone disse a Francesco senza guardarlo: Aho, a Francè, c’hai ‘na faccia. Francesco, sempre senza guardarlo, fece quel gesto vago con la mano che a Roma non ha bisogno di traduzione.

A quel punto Paolo alzò gli occhi dal telefono e disse che aveva letto anche lui e che ci voleva una faccia tosta notevole per hackerare il direttore dell’FBI e poi comunicarlo al mondo con il tono di chi ha appena vinto una partita a briscola, e Andrea, ignaro ma curioso, chiese di cosa stessero parlando.

Paolo posò il telefono sul bancone, con lo schermo verso l’alto come se servisse da prova. Il 27 marzo, tre giorni fa, un gruppo che si chiama Handala Hack Team ha pubblicato su internet oltre trecento email, fotografie personali e quello che sembra essere il curriculum vitae di Kash Patel.

Andrea aspettò un secondo. E Kash Patel sarebbe?

Il direttore dell’FBI.

Andrea ci pensò un secondo e aprì le mani. Ma scusa, succede, ma qual è il problema? Che a loro non deve succedere perché sono quelli bravi?

Francesco stava rigirando il caffè nella tazzina senza berlo, con lo sguardo dentro il caffè e un sospiro. Andrè, il punto non è chi è stato hackerato, il punto è cosa è stato hackerato. Non hanno bucato i sistemi dell’FBI. Nessuno è entrato nell’infrastruttura informatica del Bureau, nessuno ha violato le reti classificate, nessuno ha bucato il perimetro governativo americano, che, per inciso, è blindato come una cassaforte svizzera costruita da ingegneri tedeschi con doppio controllo paranoico americano.

E allora?

Francesco riposò il caffè sul piattino. Quello che è stato bucato era un account Gmail personale. Una casella di posta privata, con la G maiuscola e il logo colorato, ospitata su server di Mountain View, California, soggetta agli stessi termini di servizio di mio suocero di Siracusa che usa il computer la sera per scrivere ai nipoti.

Gigi posò il bicchiere che stava pulendo. Gli erano venuti in mente due film: WarGames e Ocean’s Eleven. Nel primo un ragazzo di liceo entra nei computer militari americani credendo di giocare a un videogioco, nel secondo il caveau più blindato di Las Vegas non lo apri dalla porta: lo aggiri, lo scavi, lo svuoti dal basso. Evidentemente nessuno aveva visto nessuno dei due. Riprese i bicchieri.

Paolo tamburellò con le dita sul bancone. In verità è peggio di così perché non era la prima volta. Alla fine del 2024, quando Patel era ancora in attesa di conferma come direttore, le autorità americane lo avevano già informato che era stato preso di mira da hacker iraniani e che alcune delle sue comunicazioni personali erano già state compromesse.

Andrea aprì leggermente la bocca. Sapeva di avere un problema e ha tenuto l’account Gmail lo stesso?

Sì.

Gigi appoggiò il bicchiere sul bancone. Era come fare irruzione nella fortezza più sicura del mondo e poi scoprire che il direttore della fortezza aveva lasciato la porta del garage spalancata. Aggiunse, con l’aria di chi sa come funzionano le cose, che aprire e chiudere è una fatica che alla lunga nessuno regge.

Francesco annuì. Solo che il garage, in questo caso, conteneva dodici anni di corrispondenza personale, foto di vacanze, biglietti aerei, email di lavoro mischiate a email private, e probabilmente le solite cose che si accumulano in una Gmail che nessuno svuota mai perché lo storage è illimitato e cancellare è una cosa che nessuno fa mai, un po’ perché è noioso, un po’ perché magari poi ti serve.

Andrea si spostò sul bordo del bancone. Ma questi Handala, chi sono?

Per capire chi è Handala bisogna fare un passo indietro e spiegare in che mondo stiamo vivendo dall’inizio del 2026, e per farlo bisogna allontanarsi un momento dal Bar, che non è il Consiglio di Sicurezza dell’ONU e Gigi non è Pedro Sánchez, uno dei pochi leader occidentali che in questo periodo riesce a finire una frase senza far venire voglia di lanciare il telefono, o il televisore, nel biondo Tevere.

A febbraio del 2026, gli Stati Uniti e Israele hanno condotto operazioni militari contro l’Iran. Ma non è questa la sede per un’analisi geopolitica di quello che è successo e di quello che sta succedendo. Quello che ci interessa qui è la risposta iraniana sul piano cibernetico, che è stata rapida, coordinata e deliberatamente rumorosa.

L’Iran non combatte le sue battaglie digitali con le proprie mani. O meglio: le combatte anche con le proprie mani, ma tiene sempre una distanza di sicurezza che gli permette di alzarle e dire che non sa di cosa stiate parlando quando qualcuno bussa alla porta. Questo riesce a farlo attraverso gruppi proxy che operano in modo sufficientemente autonomo da rendere l’attribuzione formale un esercizio diplomaticamente imbarazzante. Handala è uno di questi gruppi.

Handala si presenta al mondo nel dicembre 2023 come collettivo hacktivista pro-palestinese con l’estetica dei movimenti di protesta digitale e il vocabolario dei forum. In realtà i ricercatori di cybersecurity e le agenzie di intelligence occidentali la attribuiscono con ragionevole certezza al Ministero dell’Intelligence e della Sicurezza iraniano, il MOIS, tracciata sotto diversi alias operativi: Void Manticore, Red Sandstorm, Banished Kitten. I nomi cambiano a seconda di chi li usa e del momento storico, ma il soggetto è sostanzialmente lo stesso, con le stesse infrastrutture, le stesse tecniche, gli stessi obiettivi. Tra gennaio 2024 e febbraio 2025 i ricercatori hanno documentato almeno ottantacinque operazioni rivendicate contro obiettivi israeliani e occidentali. Dopo febbraio 2026 il ritmo è aumentato in modo significativo.

Al bancone del Bar di Gigi, Paolo aveva già il telefono in mano.

Il metodo si chiama hack-and-leak: entri, prendi quello che riesci a prendere, poi lo pubblichi facendo il massimo rumore possibile. Non deve essere sofisticato, disse Francesco, che aveva finalmente bevuto il caffè e stava guardando la tazzina vuota, perché l’obiettivo non è rubare segreti di stato da vendere al miglior offerente, come nei film degli anni Ottanta in cui qualcuno correva per i corridoi di una base militare con una valigetta. L’obiettivo è creare imbarazzo, dimostrare che il governo americano non è poi così invulnerabile come pretende di essere.

Propaganda, fondamentalmente. Propaganda armata di screenshot.

Paolo si raddrizzò sulla sedia. Per capire il movente bisogna sapere un’altra cosa: la settimana prima della pubblicazione, l’FBI aveva sequestrato i domini di Handala, tolto al gruppo le sue vetrine digitali, e offerto dieci milioni di dollari di ricompensa per informazioni utili a identificarne i membri. Una risposta standard, quella che si fa quando si vuole mandare un messaggio. Il giorno prima della pubblicazione, Handala aveva scritto sul loro canale Telegram, poi eliminato, che avevano una storia da raccontare e che era la più grande violazione della sicurezza informatica del decennio. Ventiquattr’ore dopo, le email erano online.

Andrea scosse la testa. Sembra la trama di un film di Tom Clancy scritto male.

Gigi, senza alzare gli occhi dai bicchieri: la differenza tra la trama di un film di Tom Clancy scritto male e la realtà è che nella realtà manca del tutto la colonna sonora.

Andrea rimase un momento in silenzio, poi: ma nel materiale pubblicato c’era qualcosa di davvero pericoloso?

Francesco appoggiò i gomiti sul bancone. Dipende da cosa intendi per pericoloso. Le email coprono un arco temporale che va prevalentemente dal 2010 al 2019, tutto materiale precedente all’insediamento di Patel come direttore, avvenuto nel febbraio 2025. L’FBI ha confermato la violazione con una dichiarazione precisa: le informazioni sono di natura storica e non riguardano alcuna informazione governativa.

Paolo alzò un dito. C’è però una cosa interessante nei metadati, che nel mondo della digital forensics sono spesso più interessanti del contenuto stesso. Le cartelle pubblicate mostrano una data di ultima modifica del 21 maggio 2025. Significa che l’esfiltrazione vera e propria non è avvenuta il 27 marzo 2026, ma quasi un anno prima. Handala ha tenuto il materiale in freezer aspettando il momento giusto.

Un’arma con la scadenza lunga.

Francesco indicò Andrea come a dire esatto. E il punto più importante è un altro. Handala non ha pubblicato quelle email perché contenevano segreti di stato. Le ha pubblicate perché contenevano la vita privata di un uomo potente, e perché l’atto stesso di pubblicarle mandava un messaggio preciso: guardate, il direttore dell’FBI ha una Gmail come tutti, va in vacanza, fuma sigari davanti a macchine d’epoca, ha un curriculum con il numero di telefono di casa, e noi lo abbiamo. Non è un messaggio rivolto ai servizi segreti americani. È rivolto all’opinione pubblica.

Paolo tamburellò di nuovo. C’è anche un rischio tecnico secondario che vale la pena menzionare. I file pubblicati in questi dump possono contenere malware incorporato. La curiosità diventa un exploit. Chiunque scarichi quei file da siti di leak si espone a rischi ulteriori. La vittima dell’hacking diventa involontariamente la piattaforma di distribuzione di un attacco successivo.

Gigi alzò gli occhi. Era come quei negozi che mettono le offerte in vetrina per farti entrare e poi dentro non trovi niente di quello che cercavi ma esci con tre cose che non ti servivano.

Francesco lo guardò alzando un sopracciglio, era una cosa che aveva copiato da piccolo da Leonard Nimoy con innumerevoli esercizi allo specchio. Non gli veniva bene ma rendeva l’idea. Fascinating, significava, è una metafora migliore di quelle che uso io di solito.

Andrea tamburellò le dita sul bancone, poi: si vabbè, ho capito, ma la morale qual è, che non bisogna avere Gmail?

Francesco scosse la testa lentamente. Il problema degli account personali dei funzionari ad alto rischio è strutturale. Vivono fuori dal perimetro di sicurezza dell’infrastruttura istituzionale, non sono monitorati dai team governativi, non beneficiano delle protezioni avanzate delle reti classificate, non hanno i team di risposta agli incidenti che dormono con il telefono sul comodino. Sono account come quelli di tutti gli altri, soggetti agli stessi vettori di attacco, alle stesse tecniche di phishing che funzionano su un utente qualunque.

Paolo si girò verso Andrea. Il pattern è documentato e ricorrente con una regolarità che avrebbe dovuto insegnare qualcosa. Nel 2015 il direttore della CIA John Brennan ha visto il suo account AOL personale compromesso da un teenager americano che ha usato tecniche di social engineering elementari, senza strumenti sofisticati. Nel 2016 il Gmail di John Podesta, chairman della campagna presidenziale di Hillary Clinton, è stato compromesso attraverso una email di phishing abbastanza semplice. Podesta ha cliccato. Poi sono arrivati WikiLeaks e tutto quello che ne è seguito.

Andrea contò sottovoce. Direttore della CIA, chairman di una campagna presidenziale, direttore dell’FBI.

Il vettore non è mai l’infrastruttura governativa. È sempre la porta sul retro.

Gigi posò il bicchiere, si appoggiò al bancone con le braccia conserte. In fondo è sempre la stessa storia: costruisci un muro alto tre metri e qualcuno ci passa sotto. Poi riprese i bicchieri senza aspettare risposta.

E allora come si risolve? chiese Andrea.

Non si risolve con la tecnologia. Richiede di convincere persone, a volte molto arroganti e abituate all’autonomia, che quella autonomia in certi domini ha un costo che non pagano solo loro. La protezione nel dominio cibernetico deve includere tutto quello che un funzionario tocca digitalmente nella sua vita privata: gli account personali, i dispositivi, le persone con cui comunica fuori dai canali ufficiali. Non come opzione supplementare. Come componente strutturale. Francesco fece una pausa. Vi ricordate il nostro politico con le password attaccate al portatile?

Nessuno rispose, ma tutti avevano capito a chi si riferiva.

Paolo intanto aveva raccolto il cornetto integrale e lo stava guardando con l’aria di chi sta prendendo una decisione importante. Gigi, non è vegano vero? Poi si girò verso Andrea senza aspettare risposta. Diciamo che la Gmail la terrei lo stesso, con l’autenticazione a due fattori e un po’ più di attenzione. Oggi non è pensabile non avere un account personale ma almeno l’autenticazione a due fattori.

Gigi, senza voltarsi: io ho un quaderno.

Fuori aveva smesso di piovere. Sul bancone c’era il vetro vuoto di Francesco, due caffè ormai freddi e il cornetto integrale di Paolo che nessuno aveva più guardato. La giornata aveva deciso di valerne la pena, anche se nessuno di loro aveva ancora una risposta definitiva alla domanda.

Cronache del Sottosopra è una rubrica di narrativa tecnica che racconta la sicurezza informatica con gli strumenti della letteratura. I personaggi sono di fantasia. I fatti no.

Fonti primarie sull’incidente

Analisi e approfondimenti tecnici

Tag
Francesco
Francesco
Articoli: 22

Lascia una risposta

Questo sito utilizza Akismet per ridurre lo spam. Scopri come vengono elaborati i dati derivati dai commenti.