25 luglio 2026 – Il primo segnale anomalo nei sistemi di EuroCreditus S.p.A. non è stato un allarme rosso, ma un impercettibile ronzio digitale. Alle 02:17 del 21 maggio, il software di monitoraggio transazionale ha loggato una serie di 4.782 micro-pagamenti in uscita, ciascuno di importo inferiore alla soglia di segnalazione automatica, diretti verso una costellazione di portafogli digitali di nuova creazione. L’operatore di primo livello del Security Operations Center, oberato da un’ondata di falsi positivi, ha classificato l’evento come ‘rumore di fondo statistico’ e ha chiuso il ticket dopo un controllo formale durato meno di tre minuti. Si è trattato di una fatale omissione di escalation. Se l’istituto avesse implementato un ecosistema come Scudo231, il suo motore di analisi multimodale non si sarebbe limitato a valutare i singoli importi, ma avrebbe correlato la creazione quasi simultanea dei wallet di destinazione, la loro bassa reputazione e la deviazione dal profilo storico del flusso di cassa, generando un alert di rischio critico. Tale alert non sarebbe stato archiviabile da un operatore di primo livello; il protocollo avrebbe imposto un’escalation automatica e non derogabile al responsabile della Funzione Antiriciclaggio e all’Organismo di Vigilanza, corredata da un report preliminare che evidenziava un potenziale schema di frazionamento (smurfing) automatizzato.
Il giorno successivo, 22 maggio, la vulnerabilità latente è diventata una breccia attiva. L’attacco non è arrivato dall’esterno tramite phishing o brute force, ma si è attivato dall’interno, sfruttando una falla nota, la CVE-2026-7719, in un software di gestione database fornito da un vendor terzo. La patch correttiva era stata rilasciata dal fornitore 72 ore prima, ma la policy interna di EuroCreditus prevedeva un ciclo di test e implementazione di due settimane. Un ritardo procedurale che si è rivelato catastrofico. In questo snodo, la mancata applicazione della patch ha integrato una chiara colpa di organizzazione, esponendo l’ente alla responsabilità amministrativa prevista dal D.Lgs. 231/2001. Un sistema di monitoraggio avanzato, invece, avrebbe trasformato questo ritardo in un evento tracciato e gestito. I protocolli di Scudo231, ad esempio, avrebbero registrato il rilascio della patch dal bollettino di sicurezza del fornitore, avviando un timer di compliance. Superate le 24 ore senza l’applicazione, il sistema avrebbe generato una notifica formale al Chief Information Security Officer; superate le 48 ore, l’inadempienza sarebbe stata automaticamente iscritta nel registro degli incidenti e notificata all’OdV come potenziale violazione del Modello Organizzativo, documentando l’inerzia e creando una prova inconfutabile della mancata diligenza.
L’attaccante, una volta all’interno, non ha esfiltrato dati, ma li ha manipolati. Sfruttando la potenza computazionale di un modello di intelligenza artificiale di nuova generazione, identificato successivamente come Claude Mythos di Anthropic, l’aggressore ha riscritto selettivamente i log delle transazioni sospette del giorno precedente, facendole apparire come normali operazioni interbancarie. Ha poi disattivato temporaneamente i controlli AML su uno specifico canale di pagamento internazionale, aprendo un’autostrada per il riciclaggio di circa 85 milioni di euro. L’operazione, durata appena 18 minuti, ha configurato i reati presupposto di accesso abusivo a un sistema informatico (art. 615-ter c.p.), frode informatica (art. 640-ter c.p.) e, soprattutto, riciclaggio (art. 648-bis c.p.), facendo scattare la responsabilità diretta dell’ente ai sensi dell’art. 25-octies del D.Lgs. 231/01. La Procura della Repubblica, una volta informata, avrebbe avuto basi solide per contestare alla banca di non aver adottato ed efficacemente attuato modelli di organizzazione e di gestione idonei a prevenire reati della specie di quelli verificatisi.
La scoperta interna è avvenuta solo 36 ore dopo, il 24 maggio, quando la Funzione di Revisione Interna, durante un controllo a campione, ha notato una discrepanza insanabile tra i saldi contabili e i log di transazione. Il panico si è diffuso rapidamente. La comunicazione alle autorità di vigilanza – Banca d’Italia e Banca Centrale Europea – è stata tardiva e incompleta, aggravando la posizione dell’istituto. In uno scenario alternativo, la manipolazione dei log sarebbe stata intercettata in tempo reale. Un’architettura di difesa basata su un’infrastruttura fisica sovrana, come quella prevista da Scudo231, mantiene una copia immutabile e crittografata di tutti i log critici in un data-vault isolato. Qualsiasi tentativo di alterazione dei record operativi avrebbe generato un disallineamento istantaneo, attivando un protocollo di circuit breaker: il sistema avrebbe automaticamente isolato i server compromessi dalla rete principale, bloccato i canali di pagamento coinvolti e notificato l’incidente al comitato di crisi, limitando il danno economico a una frazione di quanto effettivamente avvenuto e fornendo alle autorità un resoconto forense immediato e incontestabile.
Il 25 maggio, la notizia è trapelata, prima attraverso indiscrezioni e poi confermata da una nota scarna della banca. Il titolo di EuroCreditus è crollato in borsa, bruciando oltre due miliardi di euro di capitalizzazione. La Procura ha iscritto nel registro degli indagati l’Amministratore Delegato e il CISO e, fatto ancora più grave per la continuità operativa, ha disposto il sequestro preventivo finalizzato alla confisca per equivalente degli 85 milioni di euro transitati illecitamente, ovvero il profitto del reato attribuito all’ente. Questo provvedimento ha immediatamente impattato la liquidità della banca, innescando un’ulteriore ondata di sfiducia sul mercato. La difesa della banca si è trovata in enorme difficoltà, non potendo dimostrare l’efficace attuazione del proprio Modello 231. Con un sistema di ricostruzione causale scientifica, la narrazione sarebbe stata diversa. In sede di indagini, i legali avrebbero potuto depositare un XAI Packet (Explainable AI Packet) generato dal sistema, un dossier tecnico-legale immodificabile che dimostra, attraverso motori di ragionamento deterministico, che tutti i controlli previsti dal Modello erano attivi e funzionanti fino al momento dell’attacco. Avrebbe provato che la causa della breccia non era una negligenza organizzativa interna, ma un attacco esterno di natura eccezionale, condotto con tecnologie non prevedibili con l’ordinaria diligenza. Una simile prova tecnologica avrebbe potuto spostare l’onere della prova, fornendo al Giudice per le Indagini Preliminari elementi solidi per riconsiderare l’applicazione della misura cautelare reale sul patrimonio dell’ente.
È in questo clima di crisi sistemica che si inserisce la mossa della Banca Centrale Europea. La convocazione d’urgenza per martedì 26 maggio, anticipata dal Financial Times, non è stata una semplice riunione di routine, ma la risposta diretta e immediata al disastro di EuroCreditus, percepito a Francoforte come il primo caso conclamato di un attacco cyber potenziato da IA di nuova generazione contro un primario istituto europeo. Le parole di Frank Elderson, membro del comitato esecutivo della BCE, assumono ora un peso specifico e drammatico. Quando afferma che una vulnerabilità, dopo il rilascio di una patch, può essere oggetto di reverse engineering in “30 minuti”, non sta formulando un’ipotesi teorica, ma sta descrivendo con esattezza il meccanismo che ha permesso di “bucare” le difese di EuroCreditus. La sua richiesta di applicare le patch “molto più rapidamente delle prassi di mercato attuali” è una critica diretta all’immobilismo procedurale che ha paralizzato la banca italiana.
Il meeting del 26 maggio, quindi, non ha solo l’obiettivo di alzare la pressione sulla minaccia cyber. La BCE intende usare il caso EuroCreditus come leva per costringere le banche del continente a una svolta radicale. L’invito a “condividere le esperienze” è un eufemismo per obbligare gli istituti più restii a rivelare le proprie debolezze e a imparare dalla lezione subita da altri. Il coinvolgimento delle banche statunitensi, tecnologicamente più avanzate, non è casuale: l’intelligence americana, tramite il cosiddetto Project Glasswing, monitorava da mesi le capacità offensive di modelli come Claude Mythos e aveva già allertato informalmente alcuni partner. L’Europa, invece, è stata colta di sorpresa, rivelando una pericolosa asimmetria informativa e tecnologica. L’incidente ha dimostrato che i Modelli Organizzativi 231 basati su controlli manuali, audit a campione e procedure cartacee sono ormai un placebo, incapaci di fronteggiare minacce che operano alla velocità del calcolo automatico. La responsabilità penale dell’ente, un tempo arginabile con una buona documentazione, oggi richiede una difesa tecnologica attiva, predittiva e in grado di produrre prove scientifiche. La vicenda di EuroCreditus è la prova che il costo della prevenzione, per quanto elevato, è ormai trascurabile rispetto al valore distrutto da un singolo, prevedibile, incidente.