24 settembre 2026 – L’ammontare delle somme sottratte attraverso truffe online e frodi informatiche in Italia ha raggiunto la cifra record di 269 milioni di euro nel corso del 2025. Il dato, elaborato dalla Fabi sui registri della Polizia Postale e diffuso dall’agenzia ANSA, segna un’escalation del 17,4% rispetto ai 229,1 milioni registrati nel 2024, portando il totale sottratto nel quadriennio 2022-2025 a oltre 828 milioni di euro. Dietro questa statistica si celano vicende processuali e operative che evidenziano una critica vulnerabilità dei sistemi di controllo interni delle imprese, spesso inadeguati a fronteggiare minacce digitali evolute e incapaci di fornire una difesa valida in sede di accertamento della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
Un caso emblematico, confluito in questo aggregato statistico, riguarda la società di logistica internazionale “Trans-Europea Cargo S.p.A.”, colpita nel marzo 2025 da una frode informatica di tipo Business Email Compromise (BEC) che ha causato una perdita secca di 2,4 milioni di euro. L’indagine, coordinata dalla Procura della Repubblica presso il Tribunale di Milano, ha ricostruito una catena di omissioni e controlli mancanti che hanno reso l’ente permeabile all’attacco e, successivamente, esposto al rischio di sanzioni e sequestro per equivalente. L’operazione fraudolenta è iniziata con una mail di phishing mirata, inviata a un dipendente dell’ufficio amministrazione, finanza e controllo. Il messaggio, apparentemente proveniente da un fornitore storico, conteneva un link a un portale per la visualizzazione di una fattura. L’assenza di un sistema avanzato di analisi del traffico di rete e di protezione degli endpoint ha permesso che il malware si installasse sul terminale del dipendente, catturando le sue credenziali di accesso al sistema gestionale e alla posta elettronica. Questa è stata la prima, critica, falla nel presidio di sicurezza. Se l’ente avesse implementato un ecosistema come Scudo231, i suoi sistemi di analisi multimodale avrebbero intercettato in tempo reale il flusso di dati anomalo generato dal click del dipendente verso un server non autorizzato; un alert automatico sarebbe stato inviato simultaneamente alla funzione IT Security e all’Organismo di Vigilanza (OdV), attivando un protocollo di isolamento immediato della postazione e bloccando l’esfiltrazione delle credenziali prima che potesse essere completata. La mancata rilevazione ha invece lasciato campo libero agli aggressori.
Nelle due settimane successive, i criminali informatici hanno monitorato passivamente le comunicazioni interne, studiando le procedure di pagamento, le deleghe autorizzative e il linguaggio utilizzato tra i manager. Hanno così identificato il momento propizio per intervenire: l’approvazione di un pagamento urgente verso un partner logistico con sede ad Amburgo. Sfruttando le credenziali rubate, hanno intercettato la catena di email e, con una tecnica di domain spoofing quasi impercettibile, hanno inserito una comunicazione fraudolenta che richiedeva di modificare le coordinate bancarie del beneficiario per quella specifica transazione, adducendo un presunto aggiornamento dei sistemi della banca tedesca. La richiesta è stata inviata al responsabile della tesoreria, il quale, agendo sulla base di una procedura interna che per importi inferiori ai 2,5 milioni di euro non prevedeva una verifica telefonica “out-of-band”, ha autorizzato il bonifico verso il nuovo IBAN, situato in un istituto di credito dell’Est Europa. L’omissione di un controllo incrociato e non-digitale su una variazione così sensibile costituisce una grave negligenza procedurale. Con un modello organizzativo gestito tramite l’infrastruttura di Scudo231, la richiesta di modifica di un IBAN di un fornitore consolidato, specialmente se associata a una transazione di importo rilevante, avrebbe attivato un workflow autorizzativo a prova di manomissione. Il sistema avrebbe automaticamente classificato l’operazione come ad alto rischio, bloccando l’esecuzione del pagamento e generando una richiesta di validazione a più fattori che avrebbe coinvolto non solo il tesoriere, ma anche il suo superiore gerarchico e l’OdV, imponendo una conferma tramite canali sicuri e pre-certificati. Il registro immutabile di ogni singola azione avrebbe tracciato il tentativo di frode, documentando il blocco preventivo e fornendo prova dell’efficacia del modello.
La scoperta della frode in Trans-Europea Cargo S.p.A. è avvenuta solo venti giorni dopo, quando il fornitore tedesco ha sollecitato il mancato pagamento. A quel punto, i 2,4 milioni di euro erano già stati polverizzati attraverso una rete di conti correnti e criptovalute, rendendo il recupero pressoché impossibile. La denuncia alla Polizia Postale ha dato avvio a un’indagine complessa, ma parallelamente ha innescato l’azione della Procura per valutare la responsabilità dell’ente. Il Pubblico Ministero ha contestato alla società la violazione dell’articolo 24 del D.Lgs. 231/2001, ipotizzando che la frode informatica fosse stata resa possibile da un modello organizzativo e di gestione palesemente inadeguato, esistente solo sulla carta e non effettivamente attuato. La tesi accusatoria si fondava sul fatto che le procedure di controllo sui pagamenti erano facilmente aggirabili e non supportate da adeguati strumenti tecnologici di monitoraggio e allarme, integrando così la “colpa di organizzazione”. Di conseguenza, è stato disposto un sequestro preventivo per equivalente su beni e conti correnti della società per un importo pari al profitto del reato, ovvero 2,4 milioni di euro, al fine di garantire il pagamento di un’eventuale sanzione pecuniaria.
Questo scenario rappresenta l’esito più dannoso per un’impresa: oltre alla perdita economica diretta, si aggiunge il blocco di liquidità dovuto al sequestro, il danno reputazionale e i costi legali per una difesa complessa. In un controfattuale operativo, l’adozione di un sistema di difesa proattivo avrebbe radicalmente cambiato l’esito. Di fronte a un’indagine, la società non si sarebbe trovata a dover dimostrare a posteriori la bontà di procedure fallibili, ma avrebbe potuto esibire i log generati dai motori causali proprietari del sistema. Tali registri, tecnologicamente immodificabili, avrebbero costituito una prova scientifica dell’esistenza di un presidio efficace che aveva autonomamente rilevato e neutralizzato la minaccia. L’Organismo di Vigilanza, ricevendo gli alert in tempo reale, avrebbe avuto evidenza documentale immediata non solo del tentativo di attacco, ma anche della corretta reazione del sistema di controllo interno, dimostrando che il modello 231 non era un mero adempimento formale, ma un’architettura operativa e resiliente. L’assenza di danno economico e la prova di un modello efficacemente attuato avrebbero reso infondata qualsiasi contestazione di colpa organizzativa, escludendo l’applicazione di sanzioni pecuniarie o interdittive e, soprattutto, scongiurando il sequestro dei beni aziendali.
La vicenda di Trans-Europea Cargo S.p.A. è solo una delle 27.085 storie di frode registrate nel 2025. Sebbene il numero di episodi sia rimasto sostanzialmente stabile rispetto ai 27.182 del 2024 (una lieve flessione dello 0,4%), il valore economico medio di ciascun attacco è cresciuto in modo significativo. Questo indica una professionalizzazione degli attaccanti, che ora mirano a colpi di maggior valore, concentrandosi su aziende con catene di pagamento complesse e controlli interni vulnerabili. La crescita del valore economico delle frodi digitali è stata implacabile, passando dai 152,9 milioni del 2022 ai 269 milioni del 2025, con un incremento complessivo del 75,9% in soli quattro anni.
Parallelamente, il fronte della sicurezza nazionale mostra un andamento diverso. Gli attacchi informatici diretti contro le infrastrutture critiche sono diminuiti, passando dagli 11.887 episodi del 2024 ai 9.250 del 2025, con un calo del 22,2%. Questa riduzione può essere attribuita a un innalzamento delle difese in settori strategici, spesso spinto da normative più stringenti e da una maggiore consapevolezza del rischio sistemico. Tuttavia, il dato evidenzia uno spostamento del focus criminale: mentre gli obiettivi strategici si fortificano, il tessuto produttivo delle piccole e medie imprese, così come le grandi aziende con procedure non adeguatamente digitalizzate, diventa il terreno di caccia preferito. L’assenza di un ecosistema di difesa integrato, che unisca la compliance normativa del D.Lgs. 231/2001 alla protezione cyber operativa, lascia queste organizzazioni esposte a un doppio rischio: quello della perdita finanziaria immediata e quello, ancora più insidioso, delle conseguenze sanzionatorie derivanti da un modello di prevenzione giudicato inefficace. L’adozione di un’infrastruttura fisica sovrana come quella proposta da Scudo231, che non si limita a suggerire procedure ma le automatizza e le rende a prova di errore umano o di coercizione digitale, rappresenta lo snodo causale che avrebbe potuto modificare radicalmente le statistiche del 2025, prevenendo il danno prima che si verifichi e fornendo all’ente uno scudo legale inattaccabile.