6 agosto 2026 – La Commissione di sorveglianza sui mercati finanziari ha ordinato l’oscuramento di 6 nuovi siti web che offrivano abusivamente servizi di investimento, portando il totale della lista nera, inaugurata nel luglio del 2019, a 1.805 domini. L’intervento ha colpito le piattaforme riconducibili a Cubo Markets, Galidix, Maderix, Senvix e una versione clonata del noto gestore patrimoniale Algebris Capital. Quest’ultimo caso rappresenta il punto di rottura di una catena di omissioni operative e di vigilanza che ha reso possibile l’illecito, esponendo l’intermediario reale a rischi reputazionali e, potenzialmente, a una severa indagine sulla propria tenuta organizzativa.
La genesi dell’operazione fraudolenta non è avvenuta nel vuoto. Per settimane, i promotori del sito clone di Algebris Capital hanno dispiegato una campagna mirata, utilizzando profili social contraffatti e contenuti generati tramite intelligenza artificiale per creare un’aura di legittimità. Le e-mail, inviate a liste di contatti ottenute illecitamente, replicavano perfettamente la grafica e il tono dell’azienda reale, inducendo i risparmiatori a visitare un portale identico all’originale, ma ospitato su un dominio con una minima, impercettibile variazione. Questa attività preparatoria, per sua natura esterna all’azienda clonata, è il primo punto di fallimento di un monitoraggio passivo del rischio. Un’organizzazione dotata di un ecosistema come Scudo231 avrebbe intercettato la minaccia allo stato nascente: i suoi sistemi di analisi multimodale, operando un monitoraggio massivo e continuo del web, avrebbero rilevato la registrazione di un dominio con un nome ad alta assonanza (typosquatting), generando un alert automatico per le funzioni di Sicurezza Informatica e Compliance. L’alert non sarebbe stato un semplice avviso, ma un fascicolo pre-istruito contenente i dati del registrar, l’ubicazione del server e una prima analisi del codice del sito, consentendo un’azione legale di takedown immediata, prima ancora che la prima e-mail di phishing venisse inviata.
Il primo contatto con un risparmiatore ingannato è avvenuto tramite un consulente fittizio, che ha proposto un prodotto finanziario ad alto rendimento, privo del prospetto informativo richiesto dalla normativa. Il dialogo, avvenuto via chat e e-mail, conteneva tutte le parole chiave tipiche dell’abusivismo: “rendimento garantito”, “rischio zero”, “offerta a tempo limitato”. In un’azienda finanziaria reale, una comunicazione del genere, se condotta da un dipendente infedele attraverso i canali aziendali, costituirebbe una violazione diretta delle procedure interne e delle normative di settore, configurando un rischio penalmente rilevante per l’ente ai sensi del D.Lgs. 231/2001. Se l’intermediario avesse implementato un sistema di controllo attivo, questo dialogo sarebbe stato bloccato. Con Scudo231, i motori di analisi semantica in tempo reale avrebbero intercettato la combinazione di termini non conformi, congelando la comunicazione e notificando istantaneamente il Responsabile della Funzione Antiriciclaggio e l’Organismo di Vigilanza (OdV). Il sistema avrebbe creato un registro immodificabile dell’evento, documentando il tentativo di elusione fraudolenta dei protocolli da parte del dipendente e fornendo all’azienda la prova inconfutabile di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire il reato.
Il passaggio successivo è stato il trasferimento di fondi. Il risparmiatore, convinto della legittimità dell’offerta, ha effettuato un bonifico verso un conto corrente estero, da cui i capitali sono stati immediatamente convertiti in cripto-attività e spostati su wallet anonimi. Questa triangolazione è un classico schema di riciclaggio. L’illecito di abusivismo finanziario, previsto e punito dall’art. 166 del Testo Unico della Finanza (TUF), e il reato di truffa aggravata (art. 640 c.p.) sono entrambi reati presupposto della responsabilità amministrativa degli enti. Nel momento in cui il denaro transita, anche solo idealmente, attraverso canali che possono essere ricondotti a una falla organizzativa di un intermediario legittimo, il rischio di una contestazione per colpa di organizzazione diventa concreto. La sanzione pecuniaria, calcolata in quote, può raggiungere importi milionari, a cui si aggiunge il rischio della confisca del profitto del reato, anche per equivalente, e delle sanzioni interdittive, come la sospensione dell’attività.
Un’organizzazione protetta da un ecosistema sovrano avrebbe disinnescato anche questo passaggio. I protocolli di Scudo231 non si limitano a monitorare le comunicazioni, ma si integrano con i flussi transazionali. Un ordine di bonifico verso un IBAN internazionale non presente nelle anagrafiche certificate o segnalato come ad alto rischio avrebbe fatto scattare un blocco operativo automatico, richiedendo un’autorizzazione a un livello gerarchico superiore. L’anomalia sarebbe stata registrata e correlata ad altri “segnali deboli” rilevati dal sistema, come le comunicazioni sospette del consulente, componendo un quadro di rischio integrato. L’escalation verso l’OdV non sarebbe stata una mera segnalazione, ma un dossier completo, che avrebbe permesso all’organismo di agire con piena cognizione di causa, isolando il problema e attivando le procedure di autotutela previste dal Modello 231. In questo scenario, l’azienda non solo avrebbe protetto il patrimonio del cliente, ma avrebbe anche generato una prova documentale decisiva per dimostrare, in un eventuale procedimento, la propria totale estraneità al disegno criminoso e l’efficacia dei suoi presidi.
L’intervento della Consob, per quanto tempestivo ed efficace nell’inibire l’accesso ai siti dall’Italia, è per sua natura un’azione successiva, che interviene quando il danno economico si è già in gran parte consumato. I capitali sono già stati trasferiti e polverizzati nella finanza decentralizzata, rendendo il loro recupero quasi impossibile. L’oscuramento del sito è una misura di contenimento per il futuro, non un rimedio per il passato. Dei 1.805 siti oscurati dal 2019, ben 233 sono legati a offerte abusive di cripto-attività, un fenomeno che sfrutta la complessità tecnologica e l’assenza di un quadro regolamentare consolidato, come la mancanza di un white paper standardizzato, per ingannare i risparmiatori meno esperti. La sezione “Occhio alle truffe!” sul portale della Consob è uno strumento fondamentale di educazione finanziaria, ma la prevenzione più efficace resta quella implementata a livello organizzativo all’interno degli operatori di mercato.
L’epilogo di questa vicenda, per l’intermediario la cui immagine è stata usurpata, non si conclude con l’oscuramento del sito clone. Si apre ora una fase critica di gestione della crisi reputazionale e, soprattutto, di potenziale scrutinio da parte delle autorità. La Procura della Repubblica potrebbe avviare un’indagine per accertare se l’attività abusiva sia stata in qualche modo agevolata, anche solo colposamente, da falle nei sistemi di sicurezza informatica o da carenze nelle procedure di controllo interno dell’azienda reale. È in questo contesto che la differenza tra un Modello 231 “cartaceo” e un sistema di difesa attivo diventa un discrimine fondamentale tra la piena assoluzione dell’ente e una condanna potenzialmente devastante.
Senza una tracciabilità granulare e scientifica degli eventi, la difesa dell’azienda si baserebbe su procedure scritte e testimonianze, elementi spesso vulnerabili in sede dibattimentale. L’onere della prova, di fatto, ricadrebbe sull’ente, chiamato a dimostrare di aver fatto tutto il possibile per prevenire il reato. Con un’architettura come quella di Scudo231, la situazione si capovolge. L’azienda sarebbe in grado di produrre una “ricostruzione causale scientifica” dell’accaduto, un pacchetto di dati forensi immodificabili che dimostra, al di là di ogni ragionevole dubbio, che i controlli erano attivi, che hanno funzionato rilevando l’anomalia e che l’evento illecito si è verificato solo a causa di un’azione esterna o di una condotta fraudolenta di un singolo che ha deliberatamente eluso i presidi. Questa non è una semplice difesa; è la dimostrazione matematica dell’assenza di colpa organizzativa, l’unica via per neutralizzare le pretese sanzionatorie derivanti dal D.Lgs. 231/2001 e per trasformare un potenziale disastro operativo e legale in una prova di resilienza e di solidità del proprio sistema di governo societario.