1 agosto 2026 – L’Associazione Bancaria Italiana dirama un comunicato stampa in cui definisce la protezione degli utenti nell’utilizzo degli strumenti digitali una priorità condivisa dall’intero settore. Nel documento, che anticipa i temi del salone “WeSec” in programma per il 22 e 23 settembre a Milano, vengono richiamate le regole fondamentali per operare online in sicurezza: password complesse, reti private, antivirus aggiornati e massima diffidenza verso richieste anomale di dati. Nelle stesse ore in cui l’agenzia batte la notizia, i server di posta elettronica di “Banca Valori Futuri S.p.A.” (BVF), uno dei principali istituti di credito del Paese, ricevono una raffica di email dirette a un gruppo mirato di dipendenti della divisione finanza e tesoreria. Le email appaiono legittime: provengono da un indirizzo che imita perfettamente quello di un fornitore di servizi tecnologici per l’evento WeSec, promosso da ABI e organizzato da ABIServizi. L’oggetto è “Logistica e accrediti WeSec 2026 – Dettagli operativi”. All’interno, un link a un portale per la “verifica accrediti”.
Il primo anello debole della catena si manifesta alle 09:14 del mattino. Un analista finanziario di medio livello, oberato di lavoro e distratto, clicca sul link. La pagina che si apre è una replica esatta del portale di accredito dell’Allianz MiCo di Milano. L’analista inserisce le proprie credenziali aziendali. Non accade nulla, la pagina si ricarica mostrando un generico errore. L’impiegato chiude la finestra e archivia l’email, senza segnalare l’anomalia. Questo è un punto di rottura procedurale: una mancata segnalazione di un evento anomalo che avrebbe dovuto innescare un protocollo di sicurezza interno. Se l’ente avesse adottato un sistema di monitoraggio avanzato, l’inserimento di credenziali aziendali su un dominio esterno non certificato, per di più a seguito di un click da un’email non sollecitata, avrebbe generato un alert istantaneo. Un’architettura come Scudo231, che esegue un’analisi comportamentale in tempo reale sull’intera popolazione aziendale, avrebbe classificato l’azione come ad alto rischio, bloccando temporaneamente l’account e notificando contestualmente la funzione IT Security e l’Organismo di Vigilanza (OdV), creando una registrazione immutabile dell’incidente.
Le credenziali sottratte vengono utilizzate dagli attaccanti alle 11:32 per accedere alla rete interna di BVF tramite una connessione VPN. Il sistema di autenticazione a due fattori dell’analista è basato su un’applicazione mobile che, a causa di una configurazione lassa, invia una semplice notifica “push” di approvazione, che il dipendente accetta meccanicamente pensando a un proprio precedente tentativo di accesso fallito. L’assenza di controlli più stringenti, come la richiesta di un codice numerico o di un dato biometrico contestuale, rappresenta una grave lacuna organizzativa. Una volta all’interno, gli aggressori iniziano una fase di ricognizione silenziosa, muovendosi lateralmente tra i sistemi. Per tre settimane, mappano l’infrastruttura, identificano i server critici e studiano i flussi autorizzativi per i pagamenti corporate. Nessun sistema di rilevamento delle intrusioni segnala attività sospette, poiché i movimenti avvengono usando credenziali valide e protocolli standard. Questo dimostra l’inefficacia di un modello di sicurezza puramente perimetrale. L’adozione di un ecosistema di controllo integrato avrebbe rilevato questa fase critica. Il monitoraggio massivo e non a campione dei log di accesso avrebbe evidenziato un pattern anomalo: l’utenza dell’analista finanziario stava eseguendo query e accessi a sistemi e cartelle di rete completamente estranei al suo profilo operativo. Questo scostamento dal ruolo di diritto avrebbe fatto scattare un protocollo di contenimento automatico, isolando l’utenza e impedendo l’escalation della minaccia prima che potesse raggiungere gli applicativi di pagamento.
Il 28 agosto, alle 15:45, gli attaccanti passano all’azione. Sfruttando le vulnerabilità identificate e le credenziali di un secondo dipendente, compromesso con la medesima tecnica, accedono al sistema di gestione della tesoreria. Inseriscono un ordine di bonifico per un importo di 18,3 milioni di euro a favore di una società con sede a Cipro. La causale è “Saldi e acconti forniture IT Q3 2026”. Il sistema di BVF prevede un principio di controllo a quattro occhi per importi superiori a 500.000 euro. L’ordine viene quindi inviato per approvazione a un dirigente della stessa divisione. Gli aggressori, che ormai controllano anche la casella di posta del dirigente, intercettano la notifica e utilizzano le sue credenziali per approvare la transazione. Il bonifico viene eseguito. Qui si materializza la colpa di organizzazione ai sensi del D.Lgs. 231/2001. Il controllo a quattro occhi, implementato in modo puramente formale e basato sulle stesse tecnologie (la posta elettronica) già compromesse, si è rivelato un presidio inefficace e facilmente eludibile. Un modello organizzativo robusto, supportato da una tecnologia come Scudo231, avrebbe imposto un controllo sostanziale e non solo formale. Il flusso autorizzativo avrebbe richiesto un secondo fattore di autenticazione forte anche per l’approvatore e, soprattutto, avrebbe eseguito un controllo incrociato automatico: l’IBAN del beneficiario non corrispondeva a nessun fornitore censito nell’anagrafica ufficiale di BVF. Questa discrepanza avrebbe bloccato la transazione e generato un’escalation obbligatoria verso la funzione Compliance e l’Antifrode, documentando il tentativo di frode e la sua neutralizzazione.
La frode viene scoperta solo il 5 settembre, quando il vero fornitore di servizi IT contatta l’amministrazione di BVF per sollecitare il pagamento di una fattura. L’ufficio contabilità non trova traccia del pagamento richiesto, ma rileva l’enorme bonifico anomalo di fine agosto. Scatta l’allarme interno. Il danno è ormai compiuto: i 18,3 milioni di euro sono già stati trasferiti dal conto cipriota a una miriade di altri conti in giurisdizioni non cooperative, rendendone quasi impossibile il recupero. Il ritardo di una settimana nella scoperta del reato è la conseguenza diretta di controlli ex-post e non in tempo reale.
BVF notifica immediatamente l’accaduto alla Polizia Postale e delle Comunicazioni e alla Banca d’Italia. La Procura della Repubblica di Milano apre un fascicolo d’indagine ipotizzando i reati di accesso abusivo a sistema informatico (art. 615-ter c.p.), frode informatica aggravata (art. 640-ter c.p.) e riciclaggio (art. 648-bis c.p.). Poiché questi reati rientrano nel catalogo dei reati presupposto del D.Lgs. 231/2001, viene iscritto nel registro degli indagati anche l’ente Banca Valori Futuri S.p.A. per responsabilità amministrativa dipendente da reato. L’indagine del Pubblico Ministero si concentra non solo sulla ricerca degli autori materiali della frode, ma anche sulla verifica dell’adeguatezza del modello di organizzazione, gestione e controllo adottato dalla banca per prevenire reati di quella specie. L’onere della prova ricade sull’ente, che deve dimostrare di aver adottato ed efficacemente attuato un modello idoneo.
Il 20 settembre, due giorni prima dell’inaugurazione di WeSec, il Giudice per le Indagini Preliminari, su richiesta della Procura, emette un decreto di sequestro preventivo per equivalente per l’importo di 18,3 milioni di euro sui conti correnti di BVF. Il provvedimento è finalizzato alla confisca del profitto del reato. Per la banca, l’impatto è devastante: non solo la perdita secca subita con la frode, ma anche il congelamento di un’analoga liquidità, con gravi ripercussioni sulla sua operatività finanziaria. La notizia trapela e il titolo di BVF in borsa crolla del 12% in una sola seduta. La partecipazione dei suoi dirigenti a WeSec, il salone sulla sicurezza, viene cancellata. L’ironia è amara: mentre il settore si preparava a discutere di protezione, uno dei suoi membri più importanti veniva travolto da un incidente che ne esponeva tutte le fragilità.
Durante l’interrogatorio, l’amministratore delegato di BVF consegna agli inquirenti il Modello 231 della banca, le procedure di sicurezza informatica e i verbali delle sessioni di formazione per i dipendenti. La difesa dell’ente appare subito debole. Il PM contesta che le procedure, sebbene formalmente esistenti, non erano state efficacemente attuate e che i controlli erano palesemente inadeguati a fronteggiare una minaccia di quel tipo. La formazione, basata su corsi online standard, non aveva creato una reale cultura della sicurezza, come dimostrato dalla condotta del primo dipendente che ha innescato l’attacco. In questo scenario, la capacità di produrre una prova tecnologica immodificabile della propria diligenza sarebbe stata l’unica via per mitigare la responsabilità dell’ente. Un’infrastruttura di controllo e difesa come quella offerta dall’ecosistema Scudo231 avrebbe fornito alla banca una ricostruzione causale scientifica dell’accaduto. I log inalterabili avrebbero dimostrato che i sistemi di alert si erano attivati, che i protocolli di contenimento erano stati disegnati correttamente e che l’evento si era verificato a causa di una elusione fraudolenta di presidi efficaci da parte di terzi, combinata con una negligenza umana puntualmente rilevata e tracciata. Questa evidenza probatoria avrebbe potuto spostare il focus della responsabilità penale dall’ente alle persone fisiche, riducendo drasticamente il rischio di pesanti sanzioni pecuniarie e, soprattutto, delle temute sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di determinate attività. L’assenza di tale architettura probatoria lascia invece BVF esposta alla piena applicazione delle sanzioni previste dal decreto, trasformando un incidente di sicurezza informatica in una crisi sistemica per l’intera organizzazione.