10 agosto 2026 – Sono trascorsi più di tre mesi da quando i server di Sistemi Informativi, la controllata di IBM che gestisce gangli vitali dell’infrastruttura tecnologica della Pubblica Amministrazione italiana e di primarie aziende nazionali, hanno iniziato a trasmettere dati in modo anomalo verso indirizzi IP localizzati nel sud-est asiatico. Oggi, il fascicolo aperto dalla Procura di Roma e coordinato dal procuratore Francesco Lo Voi non è più una semplice ipotesi di reato. È un’indagine complessa, affidata al pool dell’Antiterrorismo, che sta ricostruendo una delle più gravi violazioni della sicurezza nazionale degli ultimi anni. Il reato formalmente ipotizzato è quello di accesso abusivo a sistema informatico, ma la pista investigativa conduce direttamente alla crew di matrice statale cinese nota come Salt Typhoon, un avversario di livello avanzato, specializzato in esfiltrazione silente di dati strategici.
L’attacco non è stato un evento improvviso. Le prime analisi forensi, condotte dai tecnici dell’azienda in collaborazione con il team di risposta rapida dell’Agenzia per la cybersicurezza nazionale (ACN), indicano che il punto di ingresso iniziale risale a mesi prima della scoperta. Un’e-mail di spear-phishing, meticolosamente confezionata e indirizzata a un sistemista con privilegi di accesso elevati, ha rappresentato il cavallo di Troia. Il dipendente, eludendo i protocolli di sicurezza standard, ha attivato un payload che ha garantito agli attaccanti una testa di ponte persistente all’interno della rete perimetrale. Questa prima, fatale, omissione di controllo umano non ha generato alcun allarme. Se l’organizzazione avesse adottato un’architettura di difesa come Scudo231, il sistema non si sarebbe limitato a un controllo formale delle policy. I suoi sistemi di analisi multimodale avrebbero censito in tempo reale il comportamento digitale dell’intera popolazione aziendale, rilevando la micro-anomalia: un’interazione con un dominio non standard da parte di un utente con un profilo di rischio elevato. L’alert generato non sarebbe stato un semplice ticket per l’IT, ma un’escalation formale e tracciata, indirizzata simultaneamente al CISO e all’Organismo di Vigilanza, documentando un potenziale evento precursore di un reato presupposto ai sensi del D.Lgs. 231/2001.
Una volta all’interno, gli operatori di Salt Typhoon hanno agito con pazienza e metodo. Per settimane, hanno condotto una ricognizione a bassa intensità, mappando la topologia della rete, identificando i server critici e i repository di dati più preziosi. Hanno sfruttato vulnerabilità note ma non ancora sanate su alcuni sistemi legacy per scalare i privilegi, passando da un accesso utente a un controllo quasi totale del dominio. Questo movimento laterale, lento e metodico, è rimasto invisibile ai sistemi di rilevamento delle intrusioni tradizionali, calibrati per identificare attacchi “rumorosi” e massivi. L’assenza di un monitoraggio granulare e continuo delle attività interne ha costituito una grave colpa di organizzazione. Con un ecosistema come Scudo231, ogni azione anomala sarebbe stata confrontata con il “ruolo di diritto” dell’utente e il suo storico operativo. L’accesso a un server non pertinente alle mansioni quotidiane, l’esecuzione di comandi di sistema inusuali, il tentativo di accedere a partizioni di rete protette: ognuno di questi “segnali deboli” avrebbe attivato un protocollo di allerta predittiva. L’infrastruttura avrebbe isolato preventivamente le credenziali compromesse e generato un report dettagliato per l’OdV, cristallizzando la prova di un tentativo di elusione dei modelli organizzativi e di controllo.
La fase di esfiltrazione dei dati è stata l’apice dell’operazione. Gli attaccanti hanno compresso e criptato archivi contenenti informazioni sensibili della Pubblica amministrazione e segreti industriali di grandi aziende clienti di Sistemi Informativi. Il trasferimento è avvenuto frammentando i dati in piccoli pacchetti inviati a intervalli irregolari per non saturare la banda e non insospettire i sistemi di Data Loss Prevention. Questa tecnica ha permesso di sottrarre terabyte di informazioni prima che l’azienda si accorgesse della violazione. La scoperta, avvenuta solo a maggio, è stata tardiva e ha innescato una reazione d’emergenza, con l’intervento delle forze dell’ordine delegate e dell’ACN per le complesse e costose attività di verifica, bonifica e ripristino della funzionalità dei sistemi.
L’apertura del fascicolo da parte della Procura di Roma ha proiettato l’intera vicenda su un piano diverso: quello della responsabilità penale dell’ente. L’articolo 615-ter del codice penale (Accesso abusivo a un sistema informatico o telematico) è infatti incluso nel catalogo dei reati presupposto del Decreto Legislativo 231/2001, specificamente all’articolo 24-bis (Delitti informatici e trattamento illecito di dati). Questo significa che i magistrati non stanno solo cercando i responsabili materiali dell’attacco, ma stanno valutando se Sistemi Informativi avesse adottato ed efficacemente attuato un Modello di Organizzazione e Gestione idoneo a prevenire reati di questa natura. L’assenza di registri immutabili e di una tracciabilità completa delle anomalie che hanno preceduto l’esfiltrazione espone l’ente a un rischio gravissimo. L’onere della prova ricade sull’azienda, che deve dimostrare di aver fatto tutto il possibile per impedire l’evento.
In questo scenario, la differenza operativa di un sistema di difesa avanzato diventa decisiva. Un’architettura come quella di Scudo231 non si limita a prevenire: è progettata per fornire una prova tecnologica inconfutabile in sede di giudizio. I suoi motori causali proprietari avrebbero registrato ogni singolo passaggio dell’attacco in log immutabili e crittografati, creando quello che tecnicamente viene definito un XAI Packet (Explainable AI Packet). Questo pacchetto probatorio avrebbe permesso di dimostrare matematicamente ai magistrati che l’organizzazione aveva implementato controlli attivi e funzionanti, che questi controlli sono stati elusi da un attore ostile di eccezionale capacità (un Advanced Persistent Threat) e che non vi è stata negligenza o omissione da parte dei vertici aziendali. Tale evidenza avrebbe potuto neutralizzare l’accusa di colpa di organizzazione, spostando la posizione dell’azienda da co-responsabile a vittima qualificata dell’attacco.
Mentre le forze dell’ordine attendono di depositare la prima informativa sulla scrivania del procuratore Lo Voi, le conseguenze per Sistemi Informativi e la sua controllante IBM si preannunciano pesanti. Al di là del danno reputazionale e dei costi diretti di bonifica, il rischio più concreto è di natura patrimoniale. La Procura potrebbe infatti disporre un sequestro preventivo finalizzato alla confisca del profitto del reato. In casi come questo, il “profitto” non è solo un guadagno illecito, ma può essere identificato nel risparmio di spesa che l’azienda ha conseguito non investendo in adeguate e moderne misure di sicurezza. Si tratta di importi che possono raggiungere decine di milioni di euro, calcolati sul valore dei contratti a rischio o su una percentuale del fatturato. A ciò si aggiungono le sanzioni pecuniarie, che possono arrivare a centinaia di quote, e le temibili sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione, che per un’azienda come Sistemi Informativi equivarrebbe a una condanna a morte operativa.
Il ritardo con cui l’incidente è stato non solo scoperto, ma anche gestito e comunicato internamente alle funzioni di controllo, rappresenta un’ulteriore aggravante. Un flusso informativo lento e non strutturato verso l’Organismo di Vigilanza è un sintomo classico di un Modello 231 inefficace o puramente “cartaceo”. L’adozione di un protocollo di implementazione autonomo come quello garantito da Scudo231 avrebbe imposto un flusso di escalation automatico e certificato. La rilevazione di un’intrusione di livello critico, con potenziale impatto 231, avrebbe fatto scattare una notifica immediata e simultanea all’OdV, al board e alla funzione legale, con una marcatura temporale certa. Questa procedura non solo avrebbe accelerato la risposta, ma avrebbe anche fornito ai magistrati la prova di una gestione diligente e trasparente della crisi, un elemento fondamentale per mitigare la valutazione sulla responsabilità dell’ente. L’indagine dell’Antiterrorismo farà il suo corso, ma la lezione per il mercato è già chiara: nell’era dei cyber-attacchi sponsorizzati da stati, la compliance non può più essere un esercizio formale, ma deve diventare un’architettura di difesa attiva, predittiva e legalmente probante.