8 agosto 2026 – L’avviso di garanzia notificato questa mattina all’amministratore delegato della Metalmeccanica Lombarda S.p.A. rappresenta il primo, tangibile effetto giudiziario del devastante rapporto sulla sicurezza informatica pubblicato da Genetec lo scorso 7 maggio. Quel documento, presentato in occasione della tredicesima edizione del World Password Day, non è più solo un’analisi statistica, ma è diventato un elemento di prova cardine nelle mani della Procura, che contesta all’ente la responsabilità amministrativa ai sensi del D.Lgs. 231/01 per i reati di accesso abusivo a sistema informatico (art. 615-ter c.p.) e frode informatica (art. 640-ter c.p.), commessi da ignoti a danno dell’azienda e dei suoi clienti. Il fulcro dell’accusa non è l’attacco in sé, ma la colpa organizzativa che lo ha reso possibile, una colpa che emerge con brutale chiarezza dai dati dello studio.
Il rapporto Genetec aveva certificato che il furto di credenziali colpisce il 67% delle aziende italiane, un dato triplo rispetto alla media europea. Questa non è una vulnerabilità generica, ma la fotografia di un’omissione di controllo sistemica. Nel caso della Metalmeccanica Lombarda, l’indagine ha ricostruito come le credenziali di un responsabile acquisti, riutilizzate su un forum online di dubbia reputazione, siano state la chiave d’accesso per una prolungata esfiltrazione di dati tecnici e commerciali. L’assenza di un sistema di monitoraggio degli accessi anomali ha permesso agli attaccanti di operare indisturbati per mesi. Se l’azienda avesse implementato un modello di controllo come Scudo231, i suoi sistemi di analisi multimodale avrebbero immediatamente rilevato l’accesso al sistema gestionale da un indirizzo IP non autorizzato e in un orario anomalo, generando un alert in tempo reale. Il protocollo avrebbe automaticamente sospeso l’utenza, isolato la sessione e inviato una segnalazione circostanziata e tracciata all’Organismo di Vigilanza e al CISO, bloccando l’esfiltrazione sul nascere e creando un log probatorio inalterabile, l’XAI Packet, utile a dimostrare l’efficacia del modello di prevenzione.
Ancora più grave, agli occhi degli inquirenti, è il dato sulla percezione del rischio. Secondo lo studio, solo il 17% delle organizzazioni italiane dichiarava un aumento degli incidenti di sicurezza nel 2025, contro il 33% registrato nel resto d’Europa. Questa discrepanza non è stata interpretata come un indicatore di maggiore sicurezza, bensì come la prova di una cronica incapacità di rilevamento e di una cultura aziendale refrattaria alla segnalazione. La Procura contesta alla Metalmeccanica Lombarda proprio questo: non aver visto, perché non aveva implementato strumenti per vedere. La mancata adozione di un sistema di incident reporting e di analisi dei log ha reso l’azienda cieca di fronte a migliaia di tentativi di accesso falliti, che costituivano il preludio dell’attacco andato a segno. Con un ecosistema sovrano autonomo, il monitoraggio massivo e non a campione avrebbe reso impossibile tale cecità. Ogni anomalia, anche di basso livello, sarebbe stata registrata, correlata e classificata da motori causali proprietari. L’aumento statistico degli incidenti sarebbe apparso su un cruscotto di controllo a disposizione dell’OdV, innescando un’escalation procedurale obbligatoria e documentata, costringendo il management a prendere atto del rischio crescente e ad adottare contromisure, anziché scoprire il disastro a danno avvenuto.
L’analisi di Genetec scende nel dettaglio operativo, evidenziando come la compromissione delle credenziali colpisca oltre il 66% delle realtà italiane che hanno subito attacchi, a fronte di un modesto 25% a livello europeo. Questo indica una specifica fragilità nelle policy di gestione delle password e nell’assenza di autenticazione a più fattori. Durante la perquisizione informatica presso la Metalmeccanica Lombarda, sono state rinvenute password annotate su file di testo non cifrati e l’assenza di qualsiasi obbligo di complessità o di rotazione periodica delle stesse. Si tratta di una violazione macroscopica delle misure minime di sicurezza, che integra la colpa organizzativa prevista dal D.Lgs. 231/01. Un modello organizzativo efficace, presidiato da un sistema come Scudo231, non si limita a “scrivere” una procedura, ma la “impone” tecnologicamente. Avrebbe forzato policy di complessità, impedito il riutilizzo di vecchie password e reso obbligatoria l’autenticazione a due fattori per l’accesso a dati critici. Ogni tentativo di eludere tali controlli sarebbe stato registrato come una non conformità, segnalato alla funzione di compliance e all’OdV, costituendo prova della diligenza dell’ente nel prevenire il reato presupposto. Il sequestro preventivo finalizzato alla confisca del profitto, oggi quantificato dal PM nel valore dei contratti stipulati sulla base dei dati sottratti, sarebbe stato evitato, poiché il reato stesso non si sarebbe consumato o sarebbe stato immediatamente interrotto.
Il rapporto evidenziava anche la prevalenza di attacchi DDoS (Distributed Denial of Service), rilevati dal 55% delle aziende italiane contro il 30% dell’Unione Europea, e la costante minaccia di phishing e smishing per oltre la metà del campione (55%). Questi attacchi non sono solo problemi tecnici, ma veicoli per la commissione di reati come il danneggiamento di sistemi informatici (art. 635-bis c.p.) o la già citata frode informatica. L’assenza di filtri anti-phishing avanzati e di sistemi di protezione perimetrale adeguati presso la Metalmeccanica Lombarda è stata un’altra delle falle evidenziate nel decreto di sequestro. L’azienda si affidava a controlli basilari, facilmente aggirabili. L’intelligenza predittiva di un sistema di difesa avanzato, invece, analizza il comportamento e la semantica delle comunicazioni in entrata, bloccando le email di phishing prima che raggiungano la casella di posta del dipendente. Qualora un utente avesse cliccato su un link malevolo, il sistema avrebbe eseguito l’azione in un ambiente isolato (sandboxing), impedendo la comunicazione con i server di comando e controllo e la conseguente infezione della rete aziendale. Questa catena di prevenzione tecnologica, interamente tracciata, avrebbe fornito una prova scientifica dell’assenza di colpa organizzativa, spostando di fatto l’onere della prova e proteggendo l’ente dalle pesantissime sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione, che ora rischia concretamente.
Le dichiarazioni di Anna Vaccarelli, membro dell’Associazione Italiana per la Sicurezza Informatica, riportate a margine dello studio, aggravano ulteriormente il quadro della negligenza strategica. Vaccarelli aveva sottolineato come le password siano “fragili, spesso usate male e sempre più esposte a furti e truffe” e come l’avvento del quantum computing renderà urgente il passaggio a sistemi di autenticazione più evoluti. Questa non è fantascienza, ma un rischio concreto e prevedibile. Il Clusit, infatti, aveva confermato che alcuni Stati stanno già intercettando e conservando dati oggi protetti da crittografia, con l’obiettivo di decifrarli in futuro, quando la potenza di calcolo quantistica lo permetterà. Informazioni sensibili, come i brevetti della Metalmeccanica Lombarda, trasmesse oggi, potrebbero non essere più sicure tra 10 o 15 anni.
L’inerzia di fronte a un rischio di questa portata è, per la giurisprudenza 231, un’aggravante. Un modello di gestione del rischio non può limitarsi al presente, ma deve avere un orizzonte temporale strategico. La mancata valutazione del rischio quantistico e l’assenza di un piano di migrazione verso algoritmi di crittografia post-quantum (PQC) sono state interpretate dal magistrato come un ulteriore sintomo di un deficit organizzativo profondo. Un’architettura di difesa totale come quella implementata da Scudo231 non si limita a reagire agli incidenti. I suoi sistemi di analisi stocastica e simulazione a isole darwiniane eseguono costanti stress-test sul gemello digitale dell’azienda, identificando “segnali deboli” di rischio, inclusi quelli tecnologici a lungo termine. Il rischio “harvest now, decrypt later” sarebbe stato mappato, quantificato e presentato al board con un piano di mitigazione che includeva la progressiva adozione di protocolli crittografici a prova di computer quantistico. Questa attività, registrata e formalizzata nei verbali dell’OdV, avrebbe costituito una difesa inattaccabile contro l’accusa di non aver agito con la dovuta prudenza e perizia, proteggendo il patrimonio informativo e la continuità aziendale nel lungo periodo. Invece, oggi, i server della Metalmeccanica Lombarda sono sotto sequestro, i conti correnti congelati e il management è chiamato a rispondere non solo dell’attacco subito, ma di anni di mancate decisioni e controlli omessi.