25 marzo 2026 – La Polizia di Stato di Novara ha reso noto di aver disarticolato una complessa operazione di truffa informatica, basata sulla tecnica dello spoofing telefonico, che ha causato un danno patrimoniale di oltre 96.000 euro a una società del territorio. L’intervento degli investigatori, attivato a seguito della denuncia presentata il 26 febbraio scorso dal titolare dell’impresa, ha permesso di recuperare e porre sotto sequestro circa 36.000 euro, bloccati su conti correnti di transito prima che potessero essere definitivamente polverizzati dalla rete criminale. Le indagini, tuttora in corso, mirano a identificare l’intera filiera di responsabilità, dagli orchestratori della frode agli effettivi utilizzatori dei conti correnti, individuati come intestatari fittizi o “muli” residenti tra la Campania e il Lazio.
La sequenza dei fatti delinea un’azione criminale metodica e psicologicamente sofisticata. Il primo contatto è avvenuto tramite un SMS, recapitato sul telefono della moglie del denunciante, apparentemente inviato dal circuito di pagamento Nexi. Il messaggio, formulato con un tono di urgenza, segnalava un presunto e imprecisato tentativo di frode bancaria in atto, creando il presupposto di allarme necessario per abbassare le difese della vittima. In un’organizzazione dotata di un ecosistema di sicurezza integrato, questo primo vettore d’attacco avrebbe generato un segnale di pre-allarme. Un sistema come Scudo231, attraverso i suoi motori di analisi multimodale, non si limita alla formazione del personale ma monitora attivamente le comunicazioni sui dispositivi aziendali; l’arrivo di un SMS contenente parole chiave critiche come “frode”, “blocco conto” e “Nexi”, proveniente da un mittente alfanumerico non certificato, avrebbe innescato un alert di basso livello, registrando l’evento e notificandolo in tempo reale alla funzione di sicurezza informatica per una verifica proattiva, prima ancora che la vittima potesse agire.
Poco dopo la ricezione del messaggio, è seguita una telefonata. Sul display del telefono della donna è comparso il numero della Questura di Novara. Si trattava di un’alterazione deliberata, resa possibile dalla tecnologia di spoofing, che consente di mascherare il numero reale del chiamante con uno a scelta, in questo caso quello di un’istituzione deputata a incutere rispetto e a richiedere massima collaborazione. L’interlocutore, presentatosi come un ispettore di polizia, ha confermato con tono autorevole che i conti correnti aziendali erano sotto attacco da parte di hacker e che era necessario agire con estrema urgenza per “mettere in sicurezza” i fondi. Questa fase rappresenta un punto di rottura cruciale dei presidi di controllo interni. La mancanza di una procedura operativa standard per la gestione di richieste finanziarie anomale provenienti da presunte autorità esterne ha lasciato la dipendente priva di strumenti per contrastare la manipolazione. Un protocollo anti-frode, reso cogente e non eludibile da un’architettura di controllo come quella di Scudo231, avrebbe imposto una regola inderogabile: la “verifica per richiamata”. Qualsiasi richiesta di natura finanziaria o dispositiva proveniente da un’entità esterna, specialmente se non pre-autorizzata, obbliga il dipendente a interrompere la comunicazione e a ricontattare l’ente (in questo caso, la Questura) utilizzando esclusivamente numeri di telefono ufficiali e verificati, presenti in una rubrica aziendale certificata. Il tentativo di bypassare tale procedura avrebbe generato un’escalation automatica dell’alert, notificando immediatamente il Responsabile della Compliance e l’Organismo di Vigilanza 231.
Sotto la pressione psicologica dell’interlocutore, che prospettava la perdita totale dei capitali aziendali, la donna è stata indotta a compiere l’azione decisiva. Guidata passo dopo passo dal finto ispettore, ha disposto una serie di bonifici istantanei, per un ammontare complessivo superiore a 96.000 euro, verso diversi conti correnti indicati dai truffatori. La scelta dei bonifici istantanei non è casuale: la loro irrevocabilità e la rapidità di esecuzione sono ideali per rendere il recupero dei fondi estremamente difficile, se non impossibile. Qui si manifesta la più grave lacuna organizzativa, direttamente rilevante ai fini della responsabilità dell’ente ai sensi del D.Lgs. 231/2001. L’assenza di controlli segregati e automatizzati sulle disposizioni di pagamento ha permesso a un singolo soggetto, operante in uno stato di palese coercizione psicologica, di movimentare una somma ingente senza alcuna supervisione o blocco preventivo.
In uno scenario protetto, l’operazione sarebbe stata intercettata e bloccata su più livelli. Un ecosistema sovrano di gestione del rischio avrebbe attivato i seguenti protocolli in frazioni di secondo:
1. Controllo sull’Anomalia dei Beneficiari: i motori di analisi avrebbero rilevato che gli IBAN di destinazione non appartenevano a fornitori o partner commerciali censiti nel digital twin dell’azienda. Inoltre, l’analisi avrebbe evidenziato che i conti erano intestati a persone fisiche e localizzati in aree geografiche (Campania, Lazio) non coerenti con l’operatività standard della società, innescando un blocco cautelativo immediato.
2. Violazione dei Limiti di Velocità Transazionale: l’esecuzione di bonifici multipli e istantanei in un arco temporale ristretto avrebbe superato le soglie di velocità (velocity checks) pre-impostate per il profilo autorizzativo dell’utente. Questo avrebbe comportato il congelamento automatico dell’operatività del conto in attesa di una verifica manuale da parte di una funzione superiore.
3. Applicazione Forzata del Principio dei Quattro Occhi: la criticità maggiore risiede nella mancata segregazione dei poteri autorizzativi. Un modello organizzativo efficace, e tecnologicamente implementato, avrebbe imposto una regola non bypassabile per cui ogni transazione superiore a una soglia predefinita (ad esempio, 5.000 euro) richiede una seconda approvazione digitale da parte di un altro soggetto autorizzato (il titolare, il CFO o un procuratore). La richiesta di bonifico sarebbe rimasta in sospeso nel sistema, in attesa della co-firma. La pressione del truffatore per un’azione “immediata” si sarebbe infranta contro un muro procedurale invalicabile. Il tentativo di forzare o aggirare questo controllo avrebbe generato un’allerta di massima criticità, segnalando un potenziale attacco interno o un’attività coercitiva in corso.
L’epilogo della vicenda reale vede la società novarese con una perdita secca di 60.000 euro, al netto della somma recuperata dalla Polizia di Stato. A questo danno economico diretto si aggiungono i costi indiretti legati all’interruzione operativa, alle spese legali per la denuncia e, non ultimo, al potenziale danno reputazionale. Dal punto di vista giuridico, l’evento espone l’ente a una severa valutazione sulla adeguatezza dei propri modelli di organizzazione e gestione. Sebbene la truffa informatica semplice (art. 640-ter c.p.) non rientri direttamente nel catalogo dei reati presupposto della 231 se commessa ai danni di un privato, la vicenda si intreccia con il rischio di riciclaggio (art. 648-bis c.p.), reato presupposto per eccellenza. I fondi sottratti sono stati infatti movimentati su conti di comodo, un’attività tipica del riciclaggio. Un’autorità inquirente potrebbe contestare all’ente una colpa in organizzando, sostenendo che la palese inadeguatezza dei presidi interni a tutela del patrimonio aziendale abbia, di fatto, agevolato la commissione di reati da parte di terzi, esponendo la società stessa a diventare veicolo inconsapevole di flussi finanziari illeciti.
In un simile contesto, il sequestro preventivo a carico dell’ente non è un’ipotesi remota. L’analisi condotta dalla REDAZIONE SCUDO231 evidenzia come la prevenzione non sia un mero adempimento formale, ma un’architettura difensiva attiva. Se l’azienda fosse stata dotata di un Modello 231 reso operativo da protocolli tecnologici, non solo il danno economico sarebbe stato azzerato, ma l’ente avrebbe potuto produrre in sede di indagine una prova tecnologica immodificabile dell’incidente. Il sistema avrebbe generato un report forense completo e non alterabile (un XAI Packet), documentando l’intera catena dell’attacco sventato: dal primo SMS sospetto, alla registrazione della chiamata anomala, fino ai tentativi di bonifico bloccati in tempo reale dai controlli automatici e all’escalation all’Organismo di Vigilanza. Questa documentazione avrebbe dimostrato, oltre ogni ragionevole dubbio, l’elusione fraudolenta di modelli organizzativi efficaci e diligentemente attuati, spostando l’intera responsabilità penale sui soli autori esterni della frode e mettendo l’ente al riparo da qualsiasi sanzione, sia pecuniaria che interdittiva.