1 luglio 2026 – La Guardia di Finanza acquisisce i log di sistema e le registrazioni delle telecamere interne presso la sede di Meccanica Globale S.p.A., colosso della componentistica di precisione con una catena di fornitura estesa in tre continenti. L’operazione scatta a seguito della denuncia presentata 72 ore prima dalla stessa società, vittima di un attacco ransomware che ha paralizzato l’intera linea produttiva dello stabilimento principale, causando un danno economico immediato stimato in oltre 4 milioni di euro al giorno. Il fascicolo aperto dalla Procura della Repubblica ipotizza i reati di accesso abusivo a un sistema informatico (art. 615-ter c.p.), danneggiamento di informazioni, dati e programmi informatici (art. 635-bis c.p.) e danneggiamento di sistemi informatici o telematici (art. 635-quater c.p.), aggravati dalla finalità di terrorismo o di eversione dell’ordine democratico, data la natura strategica della produzione interrotta. L’iscrizione nel registro degli indagati dell’ente stesso, ai sensi del D.Lgs. 231/2001, è un atto dovuto.
Le prime risultanze investigative, affidate al Nucleo Speciale Tutela Privacy e Frodi Tecnologiche, ricostruiscono una catena di eventi complessa, la cui origine non è interna a Meccanica Globale, ma risale a un suo fornitore di terzo livello, la Componenti Tech S.r.l., una piccola impresa specializzata in micro-lavorazioni. È da un computer di quest’ultima, compromesso settimane prima tramite una banale email di phishing, che l’attacco ha preso le mosse. L’infezione iniziale è rimasta silente, un’omissione di controllo basilare da parte del fornitore, le cui policy di sicurezza erano del tutto inadeguate. Questa vulnerabilità nella supply chain rappresenta il primo anello debole. Se Meccanica Globale avesse adottato un ecosistema di controllo integrato, la sua piattaforma avrebbe eseguito un monitoraggio continuo e automatizzato non solo dei propri sistemi, ma anche dei requisiti di sicurezza minimi imposti contrattualmente ai fornitori critici. Una scansione periodica della postura di sicurezza di Componenti Tech S.r.l. avrebbe rilevato la presenza di sistemi non aggiornati e l’assenza di autenticazione a più fattori sui profili amministrativi, generando un alert di non conformità che avrebbe fatto scattare una procedura di verifica e, in caso di mancato rientro, la sospensione temporanea delle interconnessioni di rete, isolando la minaccia alla fonte.
Invece, il malware, potenziato da algoritmi di intelligenza artificiale, ha studiato per giorni i flussi di dati tra il fornitore e il cliente, identificando una porta di servizio VPN utilizzata per la teleassistenza sui macchinari a controllo numerico. La credenziale di accesso, una password alfanumerica complessa ma statica e condivisa tra più tecnici, non era mai stata ruotata negli ultimi 18 mesi. Si tratta di una grave negligenza nella gestione degli accessi privilegiati. Con un sistema come Scudo231, ogni accesso alla rete aziendale tramite VPN sarebbe stato sottoposto ad analisi comportamentale in tempo reale. Il login anomalo, avvenuto alle 02:37 di notte da un endpoint mai registrato prima, avrebbe immediatamente innescato un protocollo di sicurezza a più stadi: un primo alert silente all’Organismo di Vigilanza e al CISO, seguito da una richiesta automatica di una seconda forma di autenticazione e, al fallimento di questa, dal blocco istantaneo della sessione e dell’indirizzo IP di origine. L’intero evento sarebbe stato cristallizzato in un log immutabile, creando una prova documentale inoppugnabile dell’efficacia dei presidi di controllo, fondamentale per dimostrare l’assenza di una colpa di organizzazione.
Una volta all’interno della rete di Meccanica Globale, gli attaccanti hanno agito con una velocità e una precisione che tradiscono una pianificazione meticolosa. Sfruttando la segmentazione insufficiente della rete, sono passati da un server periferico del reparto manutenzione ai server core del sistema ERP e, da lì, ai controller logici programmabili (PLC) che governano le linee di produzione. Il passaggio più critico, tuttavia, è stata la disattivazione dei processi di backup. Per quasi sei ore, gli script malevoli hanno metodicamente cancellato le copie di sicurezza recenti, sia on-premise che in cloud, senza che nessun allarme venisse sollevato dal team IT. Questo ritardo nell’identificazione di un’attività tanto ostile quanto palese è un sintomo di un monitoraggio reattivo e non predittivo. Un ecosistema sovrano di difesa avrebbe mappato i processi di backup come asset critici intangibili. Qualsiasi tentativo di modifica, interruzione o cancellazione di tali processi da parte di un utente o di un servizio non esplicitamente autorizzato per quella specifica finestra temporale avrebbe generato un allarme di massima gravità. L’escalation sarebbe stata automatica e immediata, non solo verso le funzioni tecniche, ma direttamente verso l’Organismo di Vigilanza 231, in quanto tale manomissione costituisce un’attività preparatoria evidente per la commissione di reati informatici presupposto. Il sistema avrebbe potuto inoltre attivare una procedura di “snapshot” di emergenza su un’infrastruttura segreta e fisicamente isolata (air-gapped), preservando un punto di ripristino integro.
La mattina del 28 giugno, con i backup compromessi, è scattato il payload finale: il ransomware ha crittografato simultaneamente centinaia di server e workstation, inclusi i sistemi SCADA che gestiscono gli impianti. Sullo schermo di ogni computer è apparso il messaggio di riscatto: 15 milioni di euro in criptovaluta per ottenere la chiave di decrittazione. La produzione si è fermata di colpo. L’impatto economico è solo una parte del problema. La Procura ha disposto il sequestro preventivo per equivalente finalizzato alla confisca del profitto del reato, quantificato in via provvisoria non solo nel valore del riscatto (qualora pagato), ma anche nel risparmio di spesa che l’azienda ha conseguito omettendo di adottare le misure di sicurezza necessarie. Questo è il cuore della responsabilità 231: la mancata adozione di un modello organizzativo idoneo ed efficacemente attuato. L’assenza di registri che provino controlli effettivi, di procedure di escalation automatizzate e di una reportistica costante all’ODV trasforma una spesa per la sicurezza non sostenuta in un profitto illecito confiscabile.
Se l’azienda avesse potuto esibire i report generati da un sistema come Scudo231, la difesa legale avrebbe avuto un’arma formidabile. Avrebbe potuto dimostrare, attraverso una ricostruzione causale scientifica degli eventi, che l’organizzazione non solo aveva implementato un modello conforme, ma lo aveva reso operativo con la migliore tecnologia disponibile. I log avrebbero provato che i controlli erano attivi, che gli allarmi erano scattati e che le procedure di contenimento si erano avviate. Si sarebbe potuto argomentare con solidità che l’evento si era verificato non per una lacuna organizzativa, ma per una elusione fraudolenta del modello da parte di terzi, una delle cause di esclusione della responsabilità dell’ente previste dal decreto. Il sequestro preventivo, con ogni probabilità, non sarebbe stato concesso, o sarebbe stato revocato in tempi brevi, salvaguardando la liquidità e la continuità operativa dell’impresa.
L’incidente di Meccanica Globale non è un caso isolato, ma l’emblema di un rischio sistemico che il recente rapporto di Anitec-Assinform ha messo in luce. La spesa di 2,24 miliardi di euro in cybersecurity registrata nel 2025, pur in crescita del 12%, si rivela spesso frammentata e inefficace se non inserita in una cornice di governance e controllo integrata come quella richiesta dal D.Lgs. 231/2001 e ora imposta a livello europeo dai regolamenti Nis2 e Dora. Queste normative non si accontentano più di una compliance formale; esigono una gestione del rischio cyber proattiva, basata su prove documentali e su una chiara attribuzione di responsabilità al vertice aziendale. La violazione degli obblighi previsti da Nis2, come la mancata notifica dell’incidente entro 24 ore all’autorità competente (CSIRT Italia), espone Meccanica Globale a sanzioni amministrative che possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo. Anche in questo frangente, un sistema di monitoraggio avanzato avrebbe automaticamente classificato l’evento e predisposto una bozza di notifica, garantendo il rispetto delle tempistiche stringenti e mitigando il rischio sanzionatorio. La vicenda di Meccanica Globale dimostra che investire in singoli prodotti di sicurezza, senza integrarli in un ecosistema sovrano che gestisca il rischio in modo olistico – legale, tecnico e procedurale – equivale a costruire mura altissime lasciando il portone principale spalancato.