Il partito tedesco Alternativa per la Germania (AfD) ha confermato il 19 ottobre 2026 che un fornitore di hosting da esso utilizzato era stato compromesso nel settembre 2026. Il partito ha dichiarato che gli aggressori hanno copiato parti di diverse caselle di posta.
Un sito anonimo, hexane.cc, è comparso il 19 ottobre con un indice che, secondo chi lo gestisce, rappresenta 421.179 email interne dell'AfD. I contenuti vengono presentati tramite riassunti generati dall'intelligenza artificiale, non tramite i messaggi originali, il che impedisce ai lettori di confrontare i riassunti con le presunte fonti.
Il dato di 421.179 si riferisce a record di email dichiarati. Non indica il numero di persone coinvolte, di caselle di posta uniche o di messaggi rubati e confermati in modo indipendente.
Dati del partito e informazioni sugli iscritti che sarebbero esposti
Secondo un report di SecurityAffairs pubblicato il 20 ottobre, Bild ha esaminato un campione ridotto e non specificato di file associati all'archivio. Secondo Bild, i documenti sembravano autentici registri dell'AfD e comprendevano carte d'identità, fatture, estratti conto, domande di iscrizione ed elenchi regionali degli iscritti.
Il materiale includerebbe la carta d'identità di Markus Frohnmaier, vicepresidente del gruppo parlamentare dell'AfD al Bundestag. Alcuni documenti di iscrizione riportano nomi e cognomi completi e indirizzi di residenza, esponendo persone il cui unico legame apparente con l'incidente è l'appartenenza al partito.
I gestori dell'archivio definiscono il sito un progetto indipendente di interesse pubblico e affermano di aver ridotto al minimo i dati personali. Tuttavia, i documenti esaminati da Bild includerebbero informazioni che potrebbero esporre gli iscritti a contatti indesiderati, tentativi di furto d'identità o truffe mirate.
L'AfD ha dichiarato che la maggior parte delle caselle coinvolte non era utilizzata da anni e che gli aggressori non sono riusciti ad accedere agli account attuali della dirigenza del partito. Separatamente, International Cyber Digest (ICD) ha riferito, dopo aver esaminato l'indice il 19 ottobre, che l'archivio comprende la casella di posta di Alexander Gauland, presidente onorario dell'AfD ed ex co-leader. ICD ha inoltre indicato il 12 settembre 2026 come data del messaggio indicizzato più recente. Questi elementi, da soli, non dimostrano che sia stato effettuato l'accesso a un account attuale della dirigenza.
Affermazione sull'accesso iniziale non verificata
Una persona presentata come l'hacker ha detto a ICD, su X, che l'intrusione è iniziata attraverso «un unico sito web del partito non aggiornato» e che poi si è estesa ai server di posta. Questa ricostruzione del punto di ingresso non è stata accertata in modo indipendente.
Una delle etichette presenti nei nomi dei file dell'archivio è afd_exfil. Nel gergo della sicurezza informatica, "exfil" indica di norma un'infrastruttura usata per predisporre le informazioni prima che vengano trasferite all'esterno di una rete. Il nome del file, da solo, non conferma però quale ruolo svolgesse quel server.
La ricercatrice di sicurezza berlinese Lilith Wittmann ha giudicato autentica la fuga di dati e ha definito plausibile il percorso d'attacco dichiarato. Le sue valutazioni rendono credibile la catena di compromissione riportata, ma non la verificano.
I riassunti generati dall'IA non possono essere confrontati con le email
Aprendo un record indicizzato su hexane.cc compare il messaggio "source text not published for this record". I gestori del sito non hanno inoltre identificato il sistema di IA usato per creare i riassunti.
ICD ha riportato diverse voci provocatorie, tra cui riassunti che segnalano riferimenti a un «pellegrinaggio hitleriano», un biglietto di Natale con una svastica e una discussione nella sede di Berlino sull'eventualità di allontanare con la forza un fotografo. Il sito classifica il materiale in categorie come razzismo e antisemitismo e assegna valutazioni che vanno da Basso a Critico.
Queste descrizioni restano affermazioni prodotte a partire da materiale di origine non dichiarata. Senza i messaggi originali, comprensivi di intestazioni, thread completi, allegati e contesto, il sito non offre modo di autenticare i singoli riassunti né di stabilire se rappresentino fedelmente le email.
Nel pomeriggio del 19 ottobre, le pagine "Chi siamo", "Metodo" e "Supporto" del sito restituivano errori del server, il che limita ulteriormente le informazioni sui gestori e sui metodi di elaborazione.
Le conseguenze vanno oltre la disputa politica
La pubblicazione arriva mentre l'AfD contesta la propria classificazione, da parte dell'agenzia di intelligence interna tedesca, come organizzazione di estrema destra accertata. Il Tribunale amministrativo di Colonia deve stabilire se l'agenzia possa rendere pubblica tale qualifica, mentre i parlamentari del Bundestag e della Turingia discutono se avviare un procedimento per lo scioglimento del partito. Solo la Corte costituzionale federale può disporre un simile divieto.
Il materiale di un archivio anonimo andrebbe comunque autenticato prima che se ne possa valutare il valore probatorio. In particolare, le descrizioni generate dall'IA non sostituiscono le comunicazioni originali. Le email riguardanti il funzionamento dell'organizzazione nazionale del partito o la gestione dei procedimenti disciplinari potrebbero avere rilevanza politica se autenticate, ma il solo indice pubblico non ne stabilisce il contenuto.
Per gli eventuali iscritti coinvolti, la questione immediata è l'esposizione dei dati personali, più che l'interpretazione politica dell'archivio. Chi potrebbe avere documenti di iscrizione, di identità o finanziari coinvolti dovrebbe diffidare dei messaggi non richiesti che citano dettagli accurati sul partito, verificare in modo autonomo le richieste di pagamento o di credenziali e controllare i conti bancari interessati, nel caso in cui siano stati inclusi dati bancari.
