Il portale turistico ufficiale del Comune di Piacenza risulta compromesso da mesi da un attacco che inserisce nel codice sorgente link nascosti a siti di casinò e scommesse online.
Il sito Visit Piacenza, vetrina turistica ufficiale del Comune, appare regolare a chi lo naviga, ma nasconde nel codice sorgente numerosi testi e collegamenti verso piattaforme di gioco online. La compromissione, riconducibile a una tecnica nota come Seo spam, non produce alcun reindirizzamento visibile per i visitatori: i link restano invisibili nella normale visualizzazione della pagina ma risultano leggibili dai motori di ricerca, che ne registrano la presenza attribuendo peso e autorevolezza del dominio istituzionale ai siti di gioco collegati.
La verifica è alla portata di chiunque: basta aprire la homepage, visualizzare il codice sorgente con Ctrl+U e cercare la parola “casino” con Ctrl+F per trovare, al momento della rilevazione, testi e collegamenti estranei ai contenuti turistici del sito.
Le copie storiche conservate da Internet Archive fanno risalire la presenza dei contenuti abusivi almeno al 10 gennaio 2026: in quella versione della homepage comparivano già collegamenti verso Parimatch, BetBlast Casino, Playboom Casino, Glory Casino, B7 Casino e altri domini legati al gioco online, accompagnati da testi in diverse lingue e nascosti tramite contenitori grafici larghi o alti appena un pixel, impercettibili a occhio nudo ma pienamente presenti nel codice. Le versioni del sito precedenti a quella data risultano invece prive di anomalie, il che colloca l’intrusione tra la fine del 2025 e l’inizio del 2026.
A distanza di circa otto mesi i contenuti abusivi sono ancora presenti, sebbene modificati: sono cambiati sia i testi sia i domini di destinazione, oggi accompagnati anche da frasi in lingua ucraina, segno che qualcuno ha continuato a intervenire sul codice nel corso del tempo. Nel frattempo il sito ha subito aggiornamenti tecnici non banali: il CMS WordPress è passato dalla versione 6.0.11 di gennaio alla 6.9.7 attuale, e il plugin di impaginazione Elementor dalla 3.7.8 alla 3.34.1, con l’aggiunta del modulo multilingua WPML nella versione 4.8.6. Nessuno di questi interventi ha portato all’individuazione o alla rimozione dei collegamenti nascosti.
Alla vicenda si affianca il cambio del concessionario che gestisce lo IAT e gli strumenti digitali collegati, subentrato il 1° giugno 2026. La cronologia esclude che l’origine della compromissione sia attribuibile alla nuova gestione, poiché il sito risultava già alterato almeno cinque mesi prima del passaggio di consegne. Il capitolato d’appalto assegna comunque al concessionario compiti specifici sulla gestione tecnica del portale: accesso amministrativo completo da garantire al Comune, procedure di backup periodico, sistemi di monitoraggio della sicurezza informatica e protocolli per la gestione delle emergenze digitali.
Sul piano infrastrutturale, il sito è ospitato su un server condiviso con numerosi altri domini, soluzione legittima e diffusa ma che, per un portale istituzionale soggetto a specifici obblighi di sicurezza informatica, apre interrogativi sull’adeguatezza dei livelli di protezione adottati rispetto a quanto lo stesso Comune descrive nel proprio Piano di sicurezza informatica in termini di firewall perimetrali e sistemi di rilevamento delle intrusioni.
Dall’esterno non è possibile stabilire l’effettiva estensione della compromissione, né escludere che i link abusivi rappresentino solo la parte visibile di un’intrusione più ampia: una verifica approfondita del back end, dei file di installazione e dei log del server appare a questo punto necessaria per accertare l’integrità complessiva del portale.
Foto: Rafael Minguet Delgado / Pexels
