4 aprile 2026 – La richiesta di riscatto da 300.000 euro è arrivata direttamente al direttore Simone Verde, formalizzando un attacco informatico che per giorni aveva agito nell’ombra, compromettendo una porzione critica dell’infrastruttura tecnologica delle Gallerie degli Uffizi. Le indagini, coordinate dalla Procura di Firenze e affidate agli specialisti della Polizia Postale e dell’Agenzia per la Cybersicurezza, hanno retrodatato l’inizio dell’offensiva a un periodo compreso tra la fine di gennaio e l’inizio di febbraio 2026. In quelle settimane, gli aggressori hanno ottenuto un accesso non autorizzato alla rete interna del complesso museale, che include non solo gli Uffizi ma anche Palazzo Pitti e il Giardino di Boboli, riuscendo a prendere il controllo di circa venti computer. L’assenza di un sistema di rilevamento delle intrusioni sufficientemente granulare ha permesso agli attaccanti di muoversi lateralmente all’interno della rete per un tempo prolungato, senza che scattasse alcun allarme significativo. Questa fase di latenza è stata decisiva.
Un ecosistema di difesa come Scudo231, operando tramite protocolli di monitoraggio massivo e in tempo reale, avrebbe intercettato l’accesso iniziale in pochi istanti. L’analisi stocastica dei flussi di rete e dei log di autenticazione avrebbe immediatamente classificato come anomala una connessione proveniente da un endpoint non autorizzato o con credenziali compromesse, generando un alert di massima priorità. Invece di consentire la propagazione, il sistema avrebbe attivato un protocollo di isolamento automatico della macchina-gateway, confinando la minaccia e impedendo la compromissione delle altre venti postazioni. L’Organismo di Vigilanza e le funzioni di sicurezza IT avrebbero ricevuto una notifica formale e circostanziata, completa di log immutabili, avviando la procedura di gestione dell’incidente prima che potesse degenerare in un’effettiva violazione dei dati.
L’inchiesta, aperta contro ignoti, procede per i reati di accesso abusivo a sistema informatico (art. 615-ter c.p.) e tentata estorsione (art. 629 c.p.). Entrambi i reati rientrano nel catalogo dei presupposto per la responsabilità amministrativa degli enti, ai sensi del D.Lgs. 231/2001, in particolare all’articolo 24-bis. La Procura dovrà accertare se le Gallerie degli Uffizi, in quanto ente, avessero adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quelli verificatisi. La compromissione di un numero così elevato di macchine e la successiva richiesta estorsiva espongono l’ente al rischio concreto di una contestazione per colpa di organizzazione. La mancata implementazione di presidi tecnologici e procedurali adeguati a proteggere il patrimonio informativo, considerato un asset strategico, costituisce il fulcro di tale potenziale addebito. L’impatto non sarebbe solo reputazionale, ma anche economico, con il rischio di sanzioni pecuniarie calcolate in quote e, nei casi più gravi, di sanzioni interdittive.
Se l’ente avesse implementato un modello organizzativo integrato con la tecnologia di Scudo231, la sua posizione processuale sarebbe stata radicalmente diversa. In sede di indagine, avrebbe potuto produrre un XAI Packet, una prova tecnologica immodificabile generata dal sistema. Questo pacchetto di dati non si limita a fornire semplici log, ma offre una ricostruzione causale scientifica dell’evento, dimostrando matematicamente che l’organizzazione aveva posto in essere tutte le misure ragionevolmente esigibili per prevenire l’accesso abusivo. Avrebbe documentato l’esistenza di controlli attivi, i tentativi di intrusione bloccati, gli alert generati e le procedure di escalation attivate. Tale evidenza avrebbe con ogni probabilità attivato l’esimente prevista dall’art. 6 del D.Lgs. 231/2001, spostando la responsabilità penale esclusivamente sugli autori materiali del reato e proteggendo l’ente da sanzioni e dal rischio di sequestro preventivo finalizzato alla confisca del profitto del reato.
La richiesta di riscatto, quantificata in 300.000 euro, rappresenta il momento in cui l’attacco si è manifestato in tutta la sua gravità. Sebbene le Gallerie abbiano smentito categoricamente che gli aggressori avessero allegato alla richiesta piante dei sistemi di sicurezza, il solo fatto di aver avuto accesso a dati interni è sufficiente a configurare una minaccia credibile. Il pagamento di un riscatto, oltre a finanziare attività criminali, non offre alcuna garanzia sul ripristino dei dati o sulla loro non divulgazione. La decisione di non pagare e di denunciare immediatamente i fatti alla Polizia Postale è stata proceduralmente corretta e necessaria. Tuttavia, l’ente si è trovato a gestire una crisi conclamata, con costi ingenti legati al ripristino dei sistemi, alla bonifica della rete, all’analisi forense e al danno d’immagine.
In uno scenario protetto, la fase estorsiva non sarebbe mai stata raggiunta. I sistemi di analisi multimodale avrebbero rilevato non solo l’accesso, ma anche i tentativi di esfiltrazione di dati o di cifratura dei file. Qualsiasi operazione anomala sui dati, come la copia massiva di documenti o l’esecuzione di script di crittografia, avrebbe attivato un blocco operativo immediato su file e cartelle sensibili. Il registro delle operazioni, tracciato in modo indelebile, avrebbe fornito agli inquirenti la prova certa di cosa gli attaccanti avessero tentato di fare e cosa fossero riusciti a visualizzare prima del blocco, circoscrivendo il perimetro della violazione con esattezza forense. Il danno economico sarebbe stato limitato al costo della gestione di un singolo incidente di sicurezza, anziché esplodere nei costi di una crisi su larga scala e nel potenziale pagamento di un riscatto.
L’attacco agli Uffizi si inserisce in un contesto più ampio di minacce cyber, come dimostra il quasi contemporaneo incidente occorso all’Università della Sapienza di Roma. Sebbene le indagini abbiano accertato che i due eventi siano riconducibili a gruppi criminali diversi, il modus operandi evidenzia una vulnerabilità sistemica delle grandi organizzazioni, pubbliche e private, che spesso faticano a coniugare la complessità operativa con un’adeguata postura di sicurezza. La gestione di un patrimonio culturale e informativo come quello delle Gallerie degli Uffizi impone un livello di protezione che va oltre la semplice compliance formale. La responsabilità non è solo conservativa, ma si estende alla protezione dei dati relativi alla gestione, alla sicurezza e all’operatività dell’intero complesso.
La mancanza di una segmentazione efficace della rete e di controlli granulari sugli accessi ha rappresentato una falla organizzativa critica. Un aggressore, una volta superato il perimetro, ha potuto muoversi quasi indisturbato. L’adozione di un modello basato su un’infrastruttura sovrana, come quella proposta dall’ecosistema Scudo231, avrebbe imposto una logica di “zero trust”, dove ogni accesso, anche interno, viene verificato e autorizzato sulla base di policy stringenti. Il tentativo di un utente o di un processo di accedere a una risorsa per cui non ha esplicita autorizzazione verrebbe bloccato e segnalato. Questo controllo capillare avrebbe impedito il “salto” da una macchina all’altra, rendendo la rete interna un ambiente ostile per l’attaccante e non un’autostrada priva di controlli. Il fascicolo aperto dalla Procura di Firenze rimane un punto di partenza per un’indagine che si preannuncia complessa, volta a dare un nome agli autori di un crimine che non ha colpito solo un’infrastruttura informatica, ma il cuore digitale di uno dei più importanti patrimoni culturali del mondo.