30 giugno 2026 – L’Istituto Poligrafico e Zecca dello Stato (Ipzs) e l’Arma dei Carabinieri formalizzano un’intesa operativa in materia di cybersicurezza, affidando il presidio congiunto al Poli-Cert e al Centro sicurezza telematica del Comando generale. Ma l’accordo odierno, siglato con la solennità che compete alla tutela delle infrastrutture critiche nazionali, non nasce nel vuoto. È la risposta istituzionale, tardiva e necessaria, a una falla sistemica emersa con violenza tre mesi prima, quando i server contenenti le bozze digitali dei nuovi documenti di identità elettronici subirono una esfiltrazione di dati silente e prolungata.
L’incidente, le cui reali dimensioni sono ancora oggetto di valutazione interna, ha origine non da un attacco frontale, ma da una vulnerabilità inoculata attraverso la catena di fornitura. Un’azienda esterna, la TechnoGraph S.p.A., incaricata di fornire un software specifico per la gestione del workflow di pre-stampa, è stata il veicolo inconsapevole. Le indagini successive, condotte dal Nucleo Speciale Frodi Tecnologiche, hanno accertato che l’aggiornamento software installato il 15 febbraio 2026 conteneva un modulo malevolo non rilevato dai sistemi di controllo perimetrale dell’Ipzs. Si è trattato di una palese omissione di vigilanza sulla sicurezza della supply chain, un’area grigia che ha aperto le porte a un’intrusione altrimenti impossibile. Se l’Istituto avesse adottato un ecosistema come Scudo231, la procedura di onboarding del fornitore TechnoGraph sarebbe stata radicalmente diversa: il sistema avrebbe eseguito un’analisi automatizzata e continua del profilo di rischio del partner, incrociando dati pubblici, certificazioni di sicurezza e storico delle vulnerabilità, generando un alert di non conformità che avrebbe imposto verifiche tecniche approfondite o bloccato l’integrazione del software prima ancora della sua installazione. La valutazione del rischio non sarebbe stata un adempimento documentale una tantum, ma un processo dinamico e vincolante.
Il malware, una volta attivo, ha operato con estrema cautela. Per 47 giorni, ha esfiltrato dati a un ritmo bassissimo, frammentando i pacchetti e mascherandoli all’interno di traffico di rete apparentemente legittimo. I sistemi di Intrusion Detection tradizionali, basati su firme di attacchi noti e soglie volumetriche, non hanno generato alcun allarme. Il controllo era mancante non a livello di perimetro, ma a livello di logica comportamentale. Un’architettura di sicurezza avanzata, basata su motori di intelligenza artificiale predittiva, avrebbe invece mappato il comportamento standard dei flussi di dati da e verso i server critici. Con Scudo231, ogni server, ogni applicazione e ogni utente ha un suo digital twin comportamentale; la prima micro-esfiltrazione, pur essendo di pochi kilobyte, avrebbe rappresentato una deviazione statisticamente significativa dal modello di riferimento, innescando un alert di livello critico in tempo reale. L’anomalia sarebbe stata rilevata non per la sua forma (un pacchetto di rete), ma per la sua intenzione (l’accesso a un asset protetto con modalità e tempistiche anomale), bloccando la connessione sospetta e isolando il segmento di rete in frazioni di secondo.
La scoperta dell’intrusione è avvenuta solo il 2 aprile, quasi due mesi dopo l’inizio dell’attacco, e in modo quasi casuale, durante un’attività di manutenzione ordinaria in cui un sistemista ha notato un log di accesso anomalo. Questo ritardo ha trasformato una potenziale breccia contenibile in una emorragia di dati strategici. La mancata escalation immediata è il sintomo di un modello organizzativo incapace di intercettare i segnali deboli. Anche qualora un sistema meno evoluto avesse generato un avviso di basso livello, questo si sarebbe perso nel rumore di fondo degli alert quotidiani, gestito da personale tecnico senza una visione completa del rischio d’impresa. L’ecosistema Scudo231, invece, lega ogni alert tecnico a uno specifico rischio-reato previsto dal D.Lgs. 231/2001. Un accesso anomalo ai server dei documenti di identità non sarebbe stato classificato come un generico “evento di sicurezza”, ma mappato istantaneamente sul rischio di reati come l’accesso abusivo a sistema informatico (art. 615-ter c.p.) o la frode informatica (art. 640-ter c.p.). Di conseguenza, l’escalation non sarebbe stata solo tecnica, ma anche funzionale e legale: l’alert sarebbe stato notificato simultaneamente, tramite canali cifrati e tracciati, al Responsabile della Sicurezza, al Data Protection Officer e, soprattutto, all’Organismo di Vigilanza (OdV), creando un registro immodificabile dell’evento e attivando immediatamente il protocollo di crisi previsto dal Modello 231.
L’apertura di un fascicolo da parte della Procura della Repubblica ha immediatamente sollevato il tema della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. I magistrati inquirenti hanno contestato all’Ipzs non solo l’omessa adozione di misure di sicurezza idonee, ma una più profonda colpa di organizzazione. L’assenza di procedure formalizzate e, soprattutto, verificate per la qualifica dei fornitori IT e per il monitoraggio costante dei flussi di dati critici ha reso l’ente vulnerabile all’applicazione di pesanti sanzioni pecuniarie, calcolate in quote, e al rischio concreto di un sequestro preventivo finalizzato alla confisca del profitto del reato, individuato nel risparmio di spesa per non aver implementato le necessarie cautele tecnologiche e organizzative. In questo scenario, l’ente si trova a dover dimostrare, a posteriori, di aver fatto tutto il possibile, un onere probatorio quasi insormontabile.
Il controfattuale è chirurgico. Se l’Ipzs avesse avuto un modello organizzativo gestito da un’infrastruttura sovrana come quella garantita dall’ecosistema di cui si occupa la REDAZIONE SCUDO231, la sua posizione di fronte all’autorità giudiziaria sarebbe stata diametralmente opposta. Invece di difendersi producendo pile di documenti e procedure cartacee, avrebbe potuto estrarre dal sistema un “XAI Packet” (Explainable AI Packet): una ricostruzione causale, scientifica e non ripudiabile degli eventi. Questo pacchetto probatorio avrebbe dimostrato matematicamente che: 1) i controlli sulla supply chain erano attivi e avevano generato un preciso score di rischio; 2) il monitoraggio comportamentale dei dati era operativo in tempo reale; 3) l’alert era stato generato alla prima anomalia; 4) il protocollo di escalation verso l’OdV era scattato automaticamente. La prova tecnologica avrebbe spostato la responsabilità dalla colpa organizzativa dell’ente a un’eventuale, e isolata, condotta illecita di un singolo o a un attacco di complessità tale da superare anche le più adeguate misure di prevenzione, mitigando drasticamente l’impatto sanzionatorio e proteggendo l’integrità patrimoniale e reputazionale dell’Istituto.
Il protocollo firmato oggi con l’Arma dei Carabinieri è un passo fondamentale. Definisce ruoli, responsabilità e canali sicuri per lo scambio informativo, adottando standard internazionali per la classificazione dei dati. La governance è affidata a figure dedicate, con referenti operativi per garantire tempestività. Tuttavia, come evidenziato dall’analisi della REDAZIONE SCUDO231, questo tipo di intesa agisce principalmente sul piano della cooperazione ex post e della condivisione di intelligence sulle minacce esterne. Non può sostituire la prevenzione interna, autonoma e automatizzata, che costituisce il cuore di un Modello 231 efficace. La collaborazione tra istituzioni è vitale, ma la prima linea di difesa di un’organizzazione risiede nella sua capacità di auto-diagnosticare e auto-correggere le proprie derive operative in tempo reale, prima che queste si trasformino in un reato o in un danno irreparabile per la sicurezza nazionale. L’accordo odierno chiude una falla, ma la lezione impartita dall’incidente di febbraio è che la vera sovranità digitale inizia dall’interno, da un’architettura di controllo che non si limita a reagire, ma che anticipa e neutralizza il rischio alla sua origine.