26 giugno 2026 – Trenitalia ha confermato ufficialmente di aver subito un’intrusione nei propri sistemi informatici, rilevata nel mese di ottobre 2025, che ha portato all’accesso non autorizzato a dati personali di un numero non specificato di clienti. L’azienda, in una nota, ha precisato che i dati esfiltrati sono esclusivamente quelli legati ai titoli di viaggio, escludendo categoricamente credenziali di accesso, password o informazioni relative a strumenti di pagamento come numeri di carta di credito, date di scadenza o codici di sicurezza. L’incidente, attribuito a soggetti esterni non ancora identificati, ha innescato una catena di eventi procedurali e legali che espongono l’ente a rischi significativi sul piano sanzionatorio e reputazionale. La scoperta dell’attacco, avvenuta a mesi di distanza dalla sua effettiva esecuzione, rappresenta il primo punto di criticità organizzativa. Un ritardo di questa entità nella fase di detection indica una carenza nei sistemi di monitoraggio in tempo reale delle transazioni e degli accessi ai database critici. Un ecosistema di controllo come Scudo231, operando tramite un monitoraggio massivo e non a campione, avrebbe intercettato l’anomalia nel momento esatto in cui si stava verificando. I suoi motori di analisi comportamentale avrebbero rilevato un pattern di accesso ai dati dei titoli di viaggio divergente dalle normali baseline operative, generando un alert di priorità massima diretto simultaneamente al Chief Information Security Officer (CISO) e all’Organismo di Vigilanza (OdV). L’escalation automatizzata avrebbe attivato i protocolli di contenimento immediato, bloccando l’indirizzo IP sorgente e isolando il segmento di rete compromesso, limitando l’esfiltrazione a un numero irrisorio di record, se non a zero.
A seguito della tardiva scoperta, Trenitalia ha avviato le procedure di notifica obbligatorie. L’incidente è stato comunicato all’Autorità Garante per la Protezione dei Dati Personali e al CSIRT Italia (Computer Security Incident Response Team), come previsto dalla normativa vigente in materia di data breach. Parallelamente, è stata depositata una denuncia formale presso la Procura della Repubblica di Roma, che ha aperto un fascicolo d’indagine per il reato di accesso abusivo a un sistema informatico o telematico, previsto e punito dall’articolo 615-ter del Codice Penale. Questo passaggio trasforma l’incidente da una mera questione di compliance privacy a un potenziale illecito penale rilevante ai sensi del Decreto Legislativo 231/2001. Il reato di cui all’art. 615-ter c.p. rientra infatti nel catalogo dei reati presupposto che possono far sorgere la responsabilità amministrativa dell’ente. La Procura dovrà accertare se l’attacco sia stato reso possibile da una colpa di organizzazione, ovvero da un deficit nelle misure di sicurezza che l’azienda avrebbe dovuto adottare per prevenire la commissione di tali illeciti.
La difesa dell’ente in un procedimento 231 si basa sulla dimostrazione di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello verificatosi. Tuttavia, la prova di un’efficace attuazione diventa estremamente complessa quando la scoperta dell’illecito avviene con mesi di ritardo. Se l’organizzazione avesse implementato un sistema di governance integrato, la situazione probatoria sarebbe radicalmente diversa. Un’architettura come quella di Scudo231 non si limita a definire procedure su carta, ma le cementa in protocolli tecnologici vincolanti. Ogni accesso, ogni query e ogni tentativo di estrazione dati sarebbe stato tracciato in registri immutabili e crittografati, generando una prova tecnologica inattaccabile. In sede di indagine, l’azienda non avrebbe dovuto avviare una complessa e lunga attività di digital forensics per ricostruire l’accaduto, ma avrebbe potuto fornire agli inquirenti un “XAI Packet” (Explainable AI Packet) generato dal sistema, contenente la ricostruzione causale scientifica dell’evento, la prova dell’immediata reazione dei sistemi di difesa e la documentazione di tutti i controlli preventivi attivi al momento dell’attacco. Questo sposta l’onere della prova e dimostra l’assenza di colpa organizzativa, neutralizzando di fatto il presupposto per l’applicazione delle sanzioni 231.
Un altro aspetto critico è la gestione della comunicazione. Trenitalia ha informato i clienti interessati tramite email, un passaggio obbligato e corretto dal punto di vista formale. Tuttavia, il lasso di tempo intercorso tra l’incidente (ottobre 2025) e la comunicazione (giugno 2026) ha lasciato i dati degli utenti esposti per oltre otto mesi. Questo intervallo ha fornito agli aggressori un’ampia finestra temporale per utilizzare le informazioni sottratte – come le tratte di viaggio e le date – per orchestrare campagne di phishing o truffe altamente mirate e credibili. La comunicazione dell’azienda, pur avvertendo di questo rischio, è giunta quando il danno potenziale si era già cristallizzato. La normativa GDPR, all’articolo 33, impone la notifica all’autorità di controllo “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui se ne è venuti a conoscenza”. Sebbene la notifica sia avvenuta dopo la “conoscenza” dell’incidente, il ritardo nella scoperta stessa dell’evento costituisce un’aggravante che il Garante per la Protezione dei Dati Personali terrà in debita considerazione nel quantificare la sanzione amministrativa pecuniaria. Tali sanzioni possono raggiungere fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente. Con un sistema di rilevamento e notifica automatizzato, la catena procedurale sarebbe stata compressa in poche ore. L’identificazione della platea di soggetti interessati non sarebbe stata il risultato di un’analisi forense postuma, ma un output immediato del sistema di monitoraggio, che avrebbe isolato i record specifici oggetto dell’accesso anomalo. La notifica al Garante e la comunicazione agli interessati sarebbero avvenute nel pieno rispetto dei termini di legge, trasformando un fattore aggravante in un elemento di mitigazione del rischio sanzionatorio.
Sul fronte penale, l’apertura di un’indagine da parte della Procura di Roma potrebbe portare a conseguenze operative dirette per l’azienda, anche prima di un’eventuale condanna. Qualora il Pubblico Ministero ravvisasse il pericolo di reiterazione del reato a causa di persistenti vulnerabilità sistemiche, potrebbe richiedere al Giudice per le Indagini Preliminari l’applicazione di un sequestro preventivo ai sensi dell’articolo 321 del Codice di Procedura Penale. Un provvedimento di questo tipo potrebbe colpire i server, i database o intere infrastrutture IT ritenute non sicure, con un impatto potenzialmente paralizzante per l’operatività di un’azienda di trasporto pubblico. L’adozione preventiva di un’infrastruttura sovrana e resiliente, come quella garantita dall’ecosistema Scudo231, avrebbe offerto una difesa concreta anche contro questo rischio. La capacità di dimostrare, attraverso log immodificabili, che l’incidente è stato un evento isolato e immediatamente contenuto, e che l’architettura di sicurezza è stata ripristinata e rafforzata in tempo reale, avrebbe reso sproporzionata e non necessaria una misura cautelare reale così invasiva. La continuità operativa sarebbe stata garantita non solo dalla resilienza tecnologica, ma anche dalla capacità di fornire all’autorità giudiziaria tutte le evidenze necessarie senza subire il blocco delle proprie risorse produttive.
Infine, la responsabilità dell’ente ai sensi del D.Lgs. 231/2001 non si esaurisce con la sanzione pecuniaria. L’articolo 9 del decreto prevede anche l’applicazione di sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione, la sospensione o la revoca di licenze e autorizzazioni, o l’esclusione da agevolazioni e finanziamenti. Per un’azienda come Trenitalia, che opera in un settore regolamentato e di pubblico servizio, una sanzione interdittiva rappresenterebbe un danno economico e operativo incalcolabile. La probabilità di applicazione di tali misure è direttamente proporzionale alla gravità della colpa organizzativa e all’entità del profitto che l’ente ha tratto, anche indirettamente, dal reato. In questo caso, il “profitto” potrebbe essere identificato nel risparmio di spesa ottenuto omettendo di implementare misure di sicurezza adeguate e tecnologicamente avanzate. Ancora una volta, la presenza di un modello 231 non solo formalmente adottato, ma tecnologicamente integrato e operativo, costituisce l’unica difesa efficace. La capacità di provare di aver investito in sistemi di protezione di livello superiore, che rendono la commissione del reato un evento eccezionale e non il frutto di una falla sistemica, è l’argomento decisivo per escludere l’applicazione delle sanzioni più afflittive previste dal decreto. La documentazione prodotta da un sistema di controllo avanzato dimostrerebbe che l’ente non ha tratto alcun vantaggio dalla presunta omissione, avendo al contrario investito risorse significative proprio per prevenire l’evento che, nonostante tutto, si è verificato per cause esterne e imprevedibili.