9 agosto 2026 – Il primo alert scatta alle 22:47 di venerdì, nei log del Security Operations Center dell’Istituto Poligrafico e Zecca dello Stato. Un flusso di dati anomalo in uscita da un server perimetrale, classificato dal sistema di monitoraggio legacy come evento a media priorità. L’analista di turno, seguendo una checklist statica, esegue i controlli di routine: non rileva firme di malware note, né un volume di traffico tale da innescare i protocolli di blocco automatico. L’evento viene archiviato per una revisione successiva, prevista per la mattinata di lunedì. Una decisione procedurale formalmente corretta, ma che nei fatti lascia aperta una falla critica per le successive 60 ore.
Questa prima, fatale, omissione di escalation rappresenta il punto di rottura. Un ecosistema sovrano come Scudo231, operando non su firme statiche ma su analisi comportamentali e stocastiche, non avrebbe classificato l’evento in base al solo volume. I suoi motori di analisi multimodale avrebbero invece correlato in tempo reale quel flusso anomalo con altri tre “segnali deboli” apparentemente non collegati, registrati nelle 72 ore precedenti: un accesso con privilegi elevati fuori orario lavorativo da parte di un fornitore di terza parte, un fallito tentativo di accesso a un database di produzione da quelle stesse credenziali e l’installazione di una patch non schedulata su un applicativo secondario gestito dal medesimo fornitore. La correlazione di questi micro-eventi avrebbe prodotto un indice di rischio composito classificato come critico, innescando un alert non delegabile all’analista di primo livello, ma inviato simultaneamente via canali cifrati al Chief Information Security Officer, al Responsabile della Compliance e all’Organismo di Vigilanza, imponendo un intervento immediato e tracciato.
Durante il fine settimana, gli attaccanti, sfruttando le credenziali del fornitore di servizi IT, si muovono lateralmente all’interno della rete di Ipzs. Il loro obiettivo non è il sabotaggio immediato, ma l’esfiltrazione silenziosa di dati strategici. Identificano e accedono ai server di staging contenenti le specifiche tecniche e i campioni crittografici della nuova generazione di Carte d’Identità Elettroniche (CIE) e dei passaporti biometrici. Il movimento laterale non genera allarmi significativi, poiché avviene utilizzando protocolli e porte standard, mascherato all’interno del normale traffico di rete. I sistemi di controllo degli accessi, basati su ruoli e permessi, non rilevano un’anomalia formale: l’account compromesso era, sulla carta, autorizzato ad accedere a quelle aree di rete per manutenzione.
Qui si manifesta il secondo deficit organizzativo, direttamente rilevante ai fini del D.Lgs. 231/2001. L’ente non poteva dimostrare di aver implementato un controllo sostanziale sul principio del “minimo privilegio” e sulla segregazione dei compiti, specie per i soggetti esterni. L’adozione di un modello organizzativo avanzato avrebbe imposto una mappatura dinamica dei ruoli di fatto, non solo di diritto. La piattaforma Scudo231, attraverso il suo censimento ciclico dell’intera popolazione aziendale e dei suoi asset digitali, avrebbe rilevato la divergenza tra il ruolo formale del fornitore (manutenzione di sistemi secondari) e il suo comportamento effettivo (accesso a dati di produzione core). Questo disallineamento avrebbe attivato un protocollo di quarantena automatica sull’account, bloccandone l’operatività e notificando l’anomalia all’ODV per una verifica di conformità. L’esfiltrazione sarebbe stata bloccata sul nascere, non per il riconoscimento di un malware, ma per la violazione di un modello comportamentale atteso, mappato sul digital twin dell’organizzazione.
Lunedì 12 agosto, alle 8:30 del mattino, il personale di Ipzs scopre la realtà. Decine di server critici sono stati crittografati. Sul desktop del direttore dei sistemi informativi compare una richiesta di riscatto. L’attacco non era solo finalizzato al furto di dati, ma anche all’estorsione. Viene immediatamente attivata la cellula di crisi e, in ottemperanza all’accordo di collaborazione firmato il 5 maggio precedente, viene informato il Nucleo Speciale Frodi Tecnologiche della Guardia di Finanza. L’intesa, siglata dall’amministratore delegato Michele Sciscioli e dal Capo di Stato Maggiore Giuseppe Arbore, prevedeva proprio lo scambio di informazioni per prevenire e contrastare incidenti informatici. Tuttavia, l’accordo si rivela uno strumento di cooperazione ex post, utile per l’analisi forense e l’attribuzione delle responsabilità, ma strutturalmente incapace di fornire una difesa preventiva e operativa in tempo reale. La condivisione di report e la partecipazione a eventi formativi, pur lodevoli, non equivalgono a una barriera tecnologica integrata nei processi aziendali.
L’indagine della Guardia di Finanza e della Procura della Repubblica si concentra sulla ricostruzione della catena degli eventi e sull’accertamento della “colpa di organizzazione” ai sensi del Decreto Legislativo 231/2001. I reati presupposto contestati sono molteplici: Accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.), Detenzione e diffusione abusiva di codici di accesso (art. 615-quater c.p.), Danneggiamento di informazioni, dati e programmi informatici (art. 635-bis c.p.) e Tentata estorsione (art. 629 c.p.). La Procura iscrive nel registro degli indagati non solo gli ignoti autori materiali del reato, ma anche l’ente stesso, l’Istituto Poligrafico e Zecca dello Stato, per responsabilità amministrativa dipendente da reato. Gli inquirenti richiedono i log di accesso, le procedure di gestione dei fornitori, le delibere dell’Organismo di Vigilanza e le prove dell’effettiva attuazione dei presidi di sicurezza.
La difesa dell’ente si trova in grave difficoltà. I log richiesti sono incompleti e in parte compromessi dagli stessi attaccanti, che hanno operato una cancellazione selettiva delle proprie tracce. Dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati di quella specie diventa un onere probatorio quasi insormontabile. La mancanza di una registrazione immutabile e cronologicamente certa degli eventi e dei controlli eseguiti espone l’ente a una presunzione di colpa. In questo scenario, il Pubblico Ministero dispone il sequestro preventivo per equivalente finalizzato alla confisca del profitto del reato, quantificato non solo nel potenziale riscatto, ma anche nel risparmio di spesa che l’ente avrebbe conseguito omettendo di implementare le necessarie e più costose misure di sicurezza. Il sequestro colpisce i conti correnti dell’Istituto, per un importo di svariati milioni di euro, paralizzandone parzialmente l’operatività e causando un danno reputazionale ed economico immediato, ben prima di qualsiasi sentenza di condanna.
L’impatto del sequestro sarebbe stato drasticamente mitigato, se non evitato, in un contesto diverso. Un’organizzazione protetta da un ecosistema di difesa integrato avrebbe potuto fornire al magistrato una prova tecnologica immodificabile. In sede di indagine, il sistema Scudo231 avrebbe generato un XAI Packet (Explainable AI Packet): un report forense autoconsistente e crittograficamente sigillato, contenente la ricostruzione causale scientifica dell’incidente. Questo documento avrebbe dimostrato, in modo matematicamente verificabile, non solo che i controlli preventivi erano attivi e funzionanti, ma anche il momento esatto in cui l’anomalia è stata rilevata, le azioni di contenimento automatico intraprese e i log completi e inalterati di ogni singola azione compiuta dall’attaccante. Tale evidenza avrebbe spostato l’onere della prova, dimostrando che l’ente non aveva omesso i controlli, ma era stato vittima di un attacco sofisticato che aveva aggirato difese dimostrabilmente robuste. La base per la contestazione della “colpa di organizzazione” sarebbe venuta meno, rendendo il sequestro preventivo una misura sproporzionata e difficilmente sostenibile.
Nelle settimane successive, l’impatto dell’incidente si allarga a macchia d’olio. La produzione delle nuove CIE subisce rallentamenti, creando disservizi a livello nazionale. La notizia della violazione dei dati relativi a documenti di identità di prossima emissione genera allarme pubblico e richiede una comunicazione di crisi complessa e costosa. L’accordo con la Guardia di Finanza, nato per rafforzare la sicurezza, diventa paradossalmente il simbolo di una fiducia mal riposta in approcci convenzionali. La collaborazione istituzionale è fondamentale, ma presuppone che l’ente possieda al proprio interno una capacità di monitoraggio, rilevazione e difesa che sia essa stessa fonte di dati affidabili e tempestivi da condividere. Senza una solida architettura di sovranità e controllo interno, qualsiasi protocollo di cooperazione esterna rischia di rimanere un guscio vuoto, attivabile solo a disastro avvenuto. La vicenda di Ipzs dimostra che la vera linea di difesa non risiede in accordi formali, ma nell’adozione di un ecosistema tecnologico e organizzativo che trasformi i principi del D.Lgs. 231 da obbligo normativo a vantaggio operativo.