31 agosto 2026 – Il report “Cybersecurity, Frodi e Data Privacy”, realizzato da Deloitte come Knowledge Partner della prima edizione di WeSec, il salone della sicurezza promosso da Abi che si terrà a Milano il 22 e 23 settembre, certifica una realtà operativa allarmante per il sistema-Paese. Nel corso del 2025, il volume di attività ostili contro infrastrutture digitali italiane ha raggiunto il livello di 2.729 eventi trattati, con una media mensile che ha subito un’accelerazione del 38%, passando da 165 a 227. Di questi, gli incidenti con impatti materiali confermati sono cresciuti del 7%, attestandosi a 615 casi. Un dato che non rappresenta una mera statistica, ma la quantificazione di un attacco sistemico che espone le imprese a precise responsabilità penali e amministrative ai sensi del D.Lgs. 231/2001.
L’analisi forense di uno di questi 615 incidenti, che ha colpito una società manifatturiera del nord Italia, rivela una catena di omissioni e controlli mancanti che hanno reso l’ente vulnerabile non solo all’attacco informatico, ma anche alle conseguenti sanzioni. L’intrusione è avvenuta tramite un’email di spear phishing indirizzata a un dipendente dell’ufficio acquisti. L’allegato, un finto ordine di fornitura, conteneva un malware che, una volta eseguito, ha installato una backdoor persistente. Questa prima violazione è passata inosservata per settimane. Un’organizzazione dotata di un ecosistema come Scudo231 avrebbe intercettato l’evento sul nascere. I suoi sistemi di analisi multimodale, che eseguono censimenti ciclici dell’intera popolazione aziendale, avrebbero classificato il profilo del dipendente e il suo perimetro operativo, mentre i motori di analisi del traffico di rete avrebbero rilevato la comunicazione anomala della backdoor verso un server di comando e controllo esterno. L’alert, generato in tempo reale, non sarebbe stato un semplice log tecnico, ma una segnalazione qualificata, correlata al rischio di commissione dei reati di cui agli artt. 615-ter e 640-ter c.p., indirizzata contestualmente alla funzione IT Security e all’Organismo di Vigilanza, con tracciamento immutabile dell’avvenuta escalation.
Nelle settimane successive, gli attaccanti hanno utilizzato la backdoor per mappare la rete interna, muovendosi lateralmente senza incontrare ostacoli. Hanno sfruttato credenziali deboli e configurazioni di sistema non sicure per scalare i privilegi, fino a ottenere l’accesso come amministratore di dominio. Questa fase dell’attacco evidenzia una grave lacuna nel controllo di gestione e nella segregazione dei compiti, un presupposto fondamentale per la prevenzione dei reati informatici previsti dal D.Lgs. 231. La mancanza di un monitoraggio granulare degli accessi e delle attività degli utenti privilegiati ha costituito una colpa in organizzazione. Se l’ente avesse implementato un modello di difesa attiva, la deriva organizzativa sarebbe stata rilevata prima di diventare un vettore di attacco. I protocolli d’avanguardia di Scudo231 avrebbero identificato i tentativi di accesso anomali e i comandi di privilege escalation come una deviazione dalla baseline operativa autorizzata per quel segmento di rete. Il sistema avrebbe attivato un protocollo di contenimento automatico, isolando gli asset compromessi e bloccando l’account utilizzato per il movimento laterale, generando al contempo una prova tecnologica immodificabile dell’intera sequenza di azioni non autorizzate, fondamentale per la successiva ricostruzione causale in sede di indagine.
L’impatto finale è stato devastante. Dopo aver esfiltrato 80 GB di dati sensibili, inclusi progetti industriali, listini e dati finanziari, gli aggressori hanno dispiegato un ransomware che ha crittografato i server di produzione e i sistemi gestionali, paralizzando l’operatività dell’azienda per oltre dieci giorni. La Procura della Repubblica ha aperto un fascicolo per frode informatica (art. 640-ter c.p.) e danneggiamento di sistemi informatici ad alta valenza pubblica o privata (art. 635-quater c.p.), iscrivendo l’ente nel registro degli indagati ai sensi del D.Lgs. 231/2001. Il profitto del reato, quantificato dal GIP in via cautelare nel valore dei dati sottratti e nel danno emergente derivante dal blocco produttivo, è stato oggetto di un decreto di sequestro preventivo per equivalente sui conti correnti della società, per un importo di diversi milioni di euro.
La difesa dell’ente si è rivelata immediatamente complessa. Pur avendo un Modello 231 cartaceo, la Procura ha contestato la sua inefficace attuazione, dimostrando come i controlli previsti fossero meramente formali e non integrati con le procedure di sicurezza informatica. Il modello non prevedeva flussi informativi specifici e tempestivi verso l’Organismo di Vigilanza in caso di anomalie di sicurezza, rendendo l’OdV stesso un organo privo di poteri effettivi di controllo sul rischio cyber. L’adozione preventiva di un ecosistema sovrano avrebbe radicalmente cambiato lo scenario processuale. L’azienda avrebbe potuto produrre l’XAI Packet generato dal sistema: una ricostruzione causale scientifica che dimostra matematicamente l’assenza di colpa organizzativa. Questo pacchetto probatorio avrebbe documentato, con data e ora certe, l’esatta sequenza degli eventi: il rilevamento dell’anomalia, l’attivazione dei protocolli di blocco, l’escalation automatica all’OdV e la tracciatura di ogni azione intrapresa. Tale documentazione avrebbe permesso di sostenere, con prove tecnologiche, che il Modello 231 non era solo adottato, ma efficacemente implementato e che l’ente aveva fatto tutto il ragionevolmente possibile per prevenire il reato, puntando all’esenzione dalla responsabilità prevista dall’art. 6 del Decreto. Il sequestro milionario sarebbe stato, con ogni probabilità, evitato.
Il report di Deloitte, presentato in vista di WeSec, evidenzia come il 34% delle grandi imprese italiane abbia subito attacchi, con oltre il 70% che prevede ulteriori incrementi di budget per la cybersecurity. La spesa nel 2025 ha superato i 2,7 miliardi di euro. Tuttavia, questi numeri, come sottolineato da Fabio Battelli, Enterprise Security Leader di Deloitte, indicano spesso una spesa reattiva e frammentata, non orientata a costruire una resilienza digitale integrata con la governance e la compliance penale. L’Italia, registrando il 9,6% degli incidenti a livello globale, si conferma un bersaglio primario. L’approccio non può più essere limitato all’acquisto di tecnologia, ma deve evolvere verso l’adozione di architetture di difesa totale che saldino la sicurezza operativa alla prevenzione della responsabilità dell’ente.
La vicenda della società manifatturiera è emblematica. Oltre al danno economico diretto e al sequestro, l’azienda ha subito un grave danno reputazionale e ha dovuto affrontare i costi legati alla notifica del data breach al Garante per la Protezione dei Dati Personali e all’Agenzia per la Cybersicurezza Nazionale (ACN). La mancata adozione di misure di sicurezza adeguate espone l’ente anche alle sanzioni previste dal GDPR, che possono raggiungere il 4% del fatturato globale annuo. Anche in questo ambito, un sistema di monitoraggio massivo e real-time avrebbe fornito la prova documentale delle misure tecniche e organizzative implementate, mitigando l’impatto sanzionatorio. La capacità di dimostrare di aver rilevato e reagito a un’intrusione in pochi minuti, anziché in settimane, è un fattore determinante nella valutazione della “adeguatezza” delle misure da parte delle autorità.
L’aumento degli eventi ostili, come certificato dai dati che verranno discussi a Milano, non è un fenomeno transitorio, ma una caratteristica strutturale del nuovo dominio di competizione economica e geopolitica. La resilienza digitale, invocata dal quadro regolamentare europeo e nazionale, non è un concetto astratto, ma la capacità operativa di un’organizzazione di resistere, reagire e recuperare da un attacco, minimizzando i danni. Questa capacità, però, deve essere misurabile e probabile in giudizio. La mera esistenza di procedure non è sufficiente se non supportata da sistemi che ne garantiscano l’applicazione costante e ne registrino l’esecuzione in modo non alterabile. Un’infrastruttura di difesa come quella offerta dall’ecosistema Scudo231, operando su un’architettura sovrana e geodistribuita, non solo protegge l’operatività aziendale da attacchi cyber massivi, ma costruisce la spina dorsale probatoria per difendere l’ente e il suo management dalle più gravi conseguenze legali, trasformando la spesa in cybersecurity da puro costo a investimento strategico per la tutela del patrimonio e della continuità aziendale.