Tra il 19 e il 23 ottobre un gruppo di attaccanti non identificato ha estratto dati personali relativi a circa 750.000 cittadini moldavi — quasi un terzo della popolazione del Paese — sfruttando un servizio statale esposto su Internet senza autenticazione obbligatoria. Per contenere l’emorragia Chisinau ha dovuto spegnere in blocco 82 servizi digitali pubblici e oltre 30 sistemi informativi, in quello che è il secondo grande incidente ai danni dell’infrastruttura digitale dello Stato nel 2026, dopo la violazione della banca dati sanitaria di aprile.

Un Paese “spento” per fermare il furto

La vicenda emerge dai comunicati dell’Agenzia per il governo elettronico (e-Government Agency, EGA) e dell’Agenzia per la cibersicurezza moldava, poi ripresi da SecurityLab.ru e dal bollettino internazionale Risky Business. Il personale IT governativo ha individuato per primo l’estrazione anomala di dati venerdì 23 ottobre, nella mattinata. Entro le 11:30 locali gli amministratori sono riusciti a bloccare il flusso di richieste non autorizzate, ma la scelta più drastica è arrivata subito dopo: lo spegnimento preventivo di 82 servizi digitali statali e di oltre 30 pannelli amministrativi e sistemi informativi collegati, per impedire ulteriori estrazioni mentre si valutava l’entità del danno.

Non è stato un episodio isolato. Le autorità riferiscono due ulteriori tentativi di rientrare nei sistemi — uno nella notte tra sabato e domenica, attorno alle 2 del mattino del 25 ottobre, un altro martedì 27 ottobre verso le 7 — entrambi respinti secondo la versione ufficiale. Il 24 ottobre il governo aveva già parlato di circa 11 milioni di richieste rivolte ai servizi digitali nel tentativo di raccogliere dati personali senza autorizzazione: un volume che suggerisce un’attività di raccolta sistematica e automatizzata, più vicina a uno scraping massivo di API mal protette che a un’intrusione mirata e silenziosa.

Cosa è stato sottratto

Gli attaccanti avrebbero tentato di interrogare dati collegati a circa un milione di codici IDNP, l’identificativo personale univoco assegnato a ogni cittadino moldavo; i set di dati effettivamente estratti riguarderebbero circa 750.000 persone, anche se le autorità precisano che la cifra esatta è ancora in fase di accertamento e che non tutte le categorie di informazione riguardano ogni singola vittima. Il perimetro dichiarato è ampio:

• Dati anagrafici: nome, cognome, data e luogo di nascita, fotografie, dati dei familiari stretti
• Documenti e beni: patenti di guida, veicoli immatricolati, aziende intestate al cittadino
• Sanità e welfare: assicurazione sanitaria, medico di famiglia, prestazioni sociali, pensioni, invalidità
• Finanza: numeri IBAN, debiti fiscali, storico dei pagamenti sulla piattaforma statale MPay

Le autorità sostengono che i dati delle carte di pagamento non siano stati compromessi e che non risultino modifiche non autorizzate ai registri statali: chi ha in mano questi dati non può, da solo, trasferire la proprietà di un immobile o svuotare un conto corrente partendo dal solo IBAN. Il rischio reale, piuttosto, è a valle: un data set così ricco — anagrafica, veicoli, patrimonio, sanità, posizione fiscale — è la materia prima ideale per campagne di social engineering estremamente credibili, in cui un truffatore che si finge un funzionario pubblico o un operatore bancario può citare dettagli reali e verificabili della vittima per ottenere password, OTP o bonifici. Non a caso l’EGA ha invitato i cittadini a diffidare di contatti non richiesti e a verificare qualunque richiesta solo attraverso i canali ufficiali.

Un dettaglio operativo interessante riguarda l’app EVO, il portale cittadino moldavo: un errore nel sistema di logging ha fatto sì che alcuni utenti vedessero comparire nella propria cronologia degli accessi richieste relative ad atti di stato civile o patenti che non avevano effettuato personalmente. Le autorità ritengono plausibile che si tratti di tracce lasciate dagli stessi attaccanti durante l’enumerazione dei profili, un indizio che rafforza l’ipotesi di un abuso sistematico di endpoint applicativi piuttosto che di un’unica breccia puntuale.

Il vettore: un servizio pubblico senza autenticazione

Secondo la ricostruzione di Risky Business, il punto d’ingresso sarebbe riconducibile a un servizio di logging esposto su Internet e raggiungibile senza autenticazione obbligatoria: le informazioni ottenute da lì avrebbero permesso agli attaccanti di costruire ulteriori richieste verso altri sistemi collegati, estraendo progressivamente dati aggiuntivi. Chisinau non ha reso pubblici i dettagli tecnici della vulnerabilità sfruttata né confermato il punto di accesso iniziale in modo definitivo, una riservatezza comprensibile mentre l’indagine è ancora in corso, ma che lascia inevitabilmente il resto della comunità infosec con poche informazioni verificabili su cui costruire difese preventive.

È un pattern tutt’altro che nuovo nel mondo della pubblica amministrazione digitalizzata: microservizi e API interne, pensati per comunicare tra sistemi governativi fidati, finiscono esposti pubblicamente con controlli di accesso minimi o assenti, diventando un trampolino verso dati molto più sensibili di quelli che il singolo endpoint dovrebbe gestire. La differenza, qui, è la scala: un Paese di 2,35 milioni di abitanti che vede i dati di un cittadino su tre finire nelle mani di ignoti nel giro di cinque giorni.

Un bersaglio ricorrente, in un contesto geopolitico teso

Nessuna attribuzione ufficiale è stata resa nota: non è stato indicato alcun gruppo responsabile, né è stata confermata una matrice statale. Ma il contesto in cui l’incidente matura non è neutro. La Moldova, candidata all’adesione all’Unione Europea e protagonista negli ultimi anni di un braccio di ferro politico e informativo con Mosca, ha accusato ripetutamente attori legati alla Russia di operazioni di disturbo contro la propria infrastruttura digitale ed elettorale, dalle elezioni parlamentari del 2025 alla violazione della banca dati sanitaria dello scorso aprile, anch’essa attribuita in via sospetta a Mosca dai media locali pur senza una conferma formale. Questo precedente, insieme alla scala e alla sistematicità dell’attacco di ottobre, rende l’incidente un caso di scuola di come la raccolta massiva di dati personali possa affiancarsi, o preparare il terreno, a più ampie operazioni di influenza e disinformazione in un Paese di frontiera tra Unione Europea e sfera d’influenza russa.

Lo stato del ripristino

Il 27 ottobre l’e-Government Agency ha annunciato il ritorno online di 11 dei servizi sospesi, tra cui i certificati del casellario giudiziale, le apostille, gli estratti dai registri statali e la conferma della cittadinanza, precisando che la maggior parte dei servizi coinvolti era già stata corretta. Ogni riattivazione, secondo quanto dichiarato, passa da un audit di sicurezza dedicato prima del rilascio. Sull’indagine lavorano in parallelo l’Agenzia per il governo elettronico, l’Agenzia per la cibersicurezza, il Servizio per le tecnologie informatiche e la cibersicurezza, il Servizio per l’informazione e la sicurezza (l’intelligence interna) e le forze dell’ordine, con il coinvolgimento del Centro nazionale per la protezione dei dati personali.

Cosa resta da capire

Al momento non ci sono informazioni su un’eventuale messa in vendita dei dati su mercati underground, né prove di un loro utilizzo in altri reati. Resta inoltre da chiarire se esista un collegamento con la violazione della banca dati sanitaria di aprile: le autorità, per ora, non ne hanno confermato alcuno. Per i difensori, il caso moldavo è un promemoria scomodo ma utile: nelle architetture a microservizi della PA digitale, un singolo endpoint di logging o telemetria dimenticato senza autenticazione può valere quanto l’anagrafe nazionale, e la superficie d’attacco reale di uno Stato va misurata non sui portali che i cittadini conoscono, ma su tutto ciò che, dietro le quinte, parla con essi.

Timeline dell’incidente

19-23 ott 2026  Estrazione non autorizzata di dati dai sistemi statali moldavi
23 ott, ~11:30  Rilevamento interno e blocco del flusso di richieste anomale
23 ott          Spegnimento preventivo di 82 servizi digitali e 30+ sistemi/pannelli admin
24 ott          EGA comunica ~11 milioni di richieste sospette ai servizi digitali
25 ott, ~02:00  Nuovo tentativo di accesso ai sistemi, respinto
27 ott, ~07:00  Ulteriore tentativo di estrazione, respinto
27 ott          Riattivati 11 servizi (casellario, apostille, estratti, cittadinanza)

Dati dichiarati esposti: ~750.000 persone (~1/3 popolazione), ~1M codici IDNP interrogati
Vettore riportato: servizio di logging esposto online senza autenticazione obbligatoria
Attribuzione: non resa nota / non confermata

Fonti ufficiali:
- egov.md/node/41145 (risultati preliminari dell'indagine)
- ega.gov.md/node/41141 (comunicato iniziale, 24 ottobre)
- egov.md/node/41146 (ripristino dei servizi)