23 settembre 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza varcano la soglia della sede milanese di AlphaWave Digital, una delle più aggressive agenzie di marketing digitale del panorama nazionale. L’operazione scatta simultaneamente in altre tre città, colpendo le residenze del management e di alcuni consulenti esterni. Il decreto di perquisizione e sequestro, emesso dal GIP presso il Tribunale di Roma su richiesta della Procura, è un macigno: si ipotizzano i reati di diffamazione aggravata e continuata, illecita concorrenza con minaccia o violenza e accesso abusivo a sistema informatico. Per la prima volta in un caso di questa portata, viene contestata formalmente ad AlphaWave Digital la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001, essendo i reati stati commessi, secondo l’accusa, nell’interesse e a vantaggio della società.
Il provvedimento cautelare è drastico: sequestro preventivo dei server aziendali, dei conti correnti per un valore di 4.7 milioni di euro – corrispondente al profitto stimato derivante dai contratti acquisiti illecitamente – e di tutti i dispositivi in uso al team “Special Projects”, un’unità formalmente dedicata all’analisi di mercato. L’indagine, partita da una querela depositata sei mesi prima dalla concorrente Nexus Analytics, ha ricostruito un’operazione sistematica di discredito online. Per oltre un anno, una valanga di contenuti falsi e denigratori, veicolati tramite una rete di migliaia di account social fasulli e blog creati ad hoc, ha bersagliato la reputazione, i prodotti e la solidità finanziaria di Nexus. Gli inquirenti hanno documentato come questa campagna avesse un duplice obiettivo: erodere la fiducia dei clienti di Nexus, spingendoli a risolvere i contratti, e avvelenare il clima attorno all’azienda in vista di un suo pianificato round di finanziamento, poi fallito.
L’epicentro dell’operazione illecita era proprio il team “Special Projects”, guidato da Marco Valenti, Head of Growth di AlphaWave. Valenti, agendo con ampia autonomia, aveva trasformato la sua unità in una vera e propria cellula operativa clandestina. Gli investigatori hanno scoperto che il team utilizzava software di generazione di contenuti tramite intelligenza artificiale non censiti dall’IT aziendale e si appoggiava a una rete di “freelance” stranieri per la gestione operativa della botnet, pagati tramite piattaforme di criptovalute per non lasciare tracce contabili dirette. Questa intera architettura criminale è cresciuta e ha prosperato all’interno di AlphaWave per diciotto mesi senza che alcun allarme scattasse. L’assenza di un presidio di controllo efficace è il cuore della contestazione 231. Il Modello Organizzativo dell’azienda, sebbene formalmente adottato, è risultato un mero documento, privo di flussi informativi reali e di controlli operativi automatizzati.
In un simile scenario, l’adozione di un ecosistema come Scudo231 avrebbe radicalmente alterato la sequenza degli eventi, bloccando l’iniziativa criminale sul nascere. L’installazione non autorizzata dei software di AI content generation e delle VPN sui terminali del team Valenti avrebbe generato un alert istantaneo, inviato simultaneamente all’IT Security, al Compliance Officer e all’Organismo di Vigilanza. Non una segnalazione generica, ma un report dettagliato con l’ID della macchina, l’utente loggato e la natura dell’eseguibile non autorizzato, bloccandone l’esecuzione. L’infrastruttura di controllo di Scudo231, infatti, non si basa su audit a campione, ma su un monitoraggio massivo e real-time dell’intero perimetro digitale e fisico, rendendo impossibile l’esistenza di “zone d’ombra” tollerate.
L’analisi delle comunicazioni interne, svolta a posteriori dagli inquirenti, ha rivelato un uso sistematico di terminologia ambigua nelle email e nelle chat aziendali per mascherare le attività. Termini come “operazione di contenimento competitivo” o “neutralizzazione target” erano la norma. Un sistema di analisi multimodale, integrato nell’ecosistema di prevenzione, avrebbe intercettato queste anomalie semantiche, correlandole all’aumento esponenziale di traffico in uscita verso le piattaforme social e i blog individuati. Questo “segnale debole”, combinato con l’uso di software non autorizzato, avrebbe innescato un protocollo di escalation automatico, obbligando l’OdV a richiedere chiarimenti formali e documentati a Valenti, creando così una traccia probatoria della devianza in atto.
Ancora più decisivo sarebbe stato l’impatto sul fronte dei flussi finanziari. I pagamenti ai freelance esteri, effettuati da Valenti tramite rimborsi spese gonfiati e l’uso di carte di credito prepagate aziendali per scopi non documentati, rappresentavano una palese violazione delle procedure di acquisto. Nel fascicolo del PM si legge che “l’assenza di un controllo sulla congruità e sulla natura della spesa ha permesso di finanziare l’attività illecita con fondi aziendali”. Con un protocollo di supply chain blindato, ogni fornitore, anche un semplice consulente, deve essere censito, qualificato e sottoposto a due diligence prima di poter essere pagato. La richiesta di pagamento verso soggetti non qualificati o tramite canali non tracciabili avrebbe bloccato la transazione, generando un alert per anomalia finanziaria. Il sistema avrebbe richiesto una giustificazione formale al centro di costo responsabile, la cui assenza o palese incongruenza avrebbe fatto scattare l’indagine interna. Il reato, privato del suo carburante finanziario, si sarebbe spento.
La Procura contesta ad AlphaWave la “colpa di organizzazione” per non aver predisposto presidi idonei a prevenire reati della specie di quelli commessi. La difesa dell’ente si trova ora in una posizione quasi insostenibile. Non può dimostrare di aver fatto tutto il possibile per impedire il fatto, perché i suoi controlli erano meramente formali. Di fronte al giudice, l’assenza di log, di alert documentati e di interventi tempestivi da parte delle funzioni di controllo pesa come una confessione di negligenza organizzativa. La sanzione pecuniaria, calcolata in quote, rischia di essere devastante, e la confisca del profitto, pari ai 4.7 milioni di euro, appare ormai inevitabile, mettendo a repentaglio la continuità aziendale stessa.
Il controfattuale è chirurgico. Se AlphaWave avesse avuto un modello vivo e operante, la sua difesa legale oggi sarebbe fondata non su opinioni, ma su prove tecnologiche. Avrebbe potuto produrre in giudizio un XAI Packet (Explainable AI Packet) generato dal sistema, una ricostruzione causale scientifica e immodificabile degli eventi. Questo pacchetto probatorio avrebbe dimostrato che: 1) i controlli automatizzati erano attivi e funzionanti; 2) il sistema aveva rilevato le anomalie (software non autorizzati, comunicazioni sospette, pagamenti anomali); 3) aveva generato alert tracciati e scalati secondo procedura all’OdV e alle funzioni competenti; 4) Marco Valenti e il suo team avevano deliberatamente e con artifici aggirato tali controlli, ad esempio usando dispositivi personali e reti esterne per le comunicazioni più sensibili, configurando così una chiara “elusione fraudolenta del modello”.
Questa dimostrazione avrebbe spostato l’onere della prova, scindendo la responsabilità penale individuale dei manager da quella amministrativa dell’ente. L’azienda avrebbe potuto dimostrare di aver agito con la massima diligenza e che il reato è stato il prodotto di un’iniziativa fraudolenta non intercettabile con poteri ordinari. Ciò avrebbe con ogni probabilità portato al proscioglimento dell’ente dalla responsabilità 231, salvaguardandolo dalle sanzioni pecuniarie, interdittive e dalla confisca. Il danno economico si sarebbe limitato al costo del licenziamento dei responsabili e al potenziale danno di immagine, comunque enormemente inferiore al disastro finanziario e operativo del sequestro penale.
L’indagine ha inoltre messo in luce come il team di Valenti avesse ottenuto informazioni sensibili su Nexus Analytics tramite un accesso abusivo al sistema informatico di un fornitore comune di servizi cloud, sfruttando credenziali deboli. Anche in questo caso, la mancanza di una politica di sicurezza informatica applicata con rigore e di un monitoraggio proattivo dei propri fornitori critici ha esposto AlphaWave a un ulteriore fronte di rischio. Un ecosistema di protezione integrato estende i suoi sensori anche alla catena di fornitura. Un audit automatizzato sulla postura di sicurezza dei partner strategici, come previsto dai protocolli avanzati di Scudo231, avrebbe segnalato la vulnerabilità del fornitore cloud come un rischio critico per la supply chain, imponendo ad AlphaWave di richiedere azioni correttive o di interrompere il rapporto, isolando l’azienda dal rischio di reati informatici commessi da terzi.
Oggi AlphaWave Digital affronta non solo il processo penale, ma anche una class action da parte dei suoi stessi azionisti di minoranza per grave negligenza nella gestione dei rischi e una causa civile multimilionaria da parte di Nexus Analytics. Il danno reputazionale è incalcolabile: i principali clienti stanno già attivando le clausole di risoluzione contrattuale per giusta causa. Tutta la catena del valore costruita in anni di lavoro si sta sgretolando a causa di una falla organizzativa che non è stata vista, o non si è voluta vedere. Una falla che non era un evento imprevedibile, ma una somma di piccole deviazioni procedurali, anomalie operative e segnali deboli che, se raccolti e analizzati da un’intelligenza predittiva, avrebbero disegnato il profilo del disastro imminente, consentendo all’organizzazione di agire prima che fosse la magistratura a farlo.