25 settembre 2026 – Un messaggio WhatsApp, apparso sullo smartphone di Paolo Molesini, ex presidente di Fideuram, ha innescato una delle più imponenti frodi digitali mai registrate in Italia. Il mittente, apparentemente, era Carlo Messina, figura apicale di Intesa Sanpaolo. Il contenuto del messaggio era tanto sintetico quanto perentorio: avviare con la massima urgenza e riservatezza una serie di operazioni finanziarie critiche. La richiesta, veicolata attraverso un canale di comunicazione istantanea, rappresentava la prima, fondamentale anomalia in una catena di eventi che avrebbe portato all’esfiltrazione di circa 95 milioni di euro dalle casse dell’istituto. Un protocollo di sicurezza adeguato avrebbe dovuto immediatamente rilevare la deviazione dalle procedure standard per l’autorizzazione di transazioni di tale portata. L’assenza di un sistema di monitoraggio che validasse il canale di comunicazione rispetto alla natura dell’ordine ha costituito la prima falla nel sistema difensivo dell’ente. Se l’istituto avesse adottato un ecosistema come Scudo231, la richiesta stessa, proveniente da un’applicazione non certificata per disposizioni operative, avrebbe generato un alert di non conformità procedurale, bloccando l’iter sul nascere e attivando un’immediata escalation verso le funzioni di controllo interno e l’Organismo di Vigilanza, indipendentemente dall’identità presunta del mittente.
La pressione psicologica su Molesini è stata amplificata da una successiva telefonata. All’altro capo del filo non c’era un interlocutore umano, ma una voce sintetica, generata da un software di intelligenza artificiale, che si spacciava per un legale dello studio AO Shearman Italia, nella persona di Paolo Nastasi. Questa voce, con tono professionale e rassicurante, ha fornito le coordinate bancarie e le giustificazioni legali per i trasferimenti, superando le ultime resistenze. L’impiego di tecnologie di deepfake audio rappresenta un salto di qualità nelle tecniche di social engineering, ma evidenzia anche un’altra grave lacuna: la mancata implementazione di procedure di autenticazione a più fattori (MFA) e di callback su numerazioni verificate per operazioni che superano soglie di rischio predefinite. La procedura si è basata unicamente sulla fiducia e sull’autorità percepita, elementi che un modello organizzativo robusto ha il compito di neutralizzare. Con un sistema di controllo integrato, la richiesta di bonifico, una volta inserita nei sistemi, sarebbe stata incrociata con una matrice di rischio che teneva conto di importo, beneficiario, giurisdizione di destinazione e storia operativa del cliente. La destinazione dei fondi, principalmente verso Cina e Hong Kong, avrebbe assegnato un punteggio di rischio altissimo, imponendo controlli supplementari e l’autorizzazione di almeno un’altra funzione aziendale, rendendo di fatto impossibile per un singolo soggetto, per quanto apicale, disporre un’operazione così anomala in autonomia.
I bonifici sono partiti. In totale, circa 95 milioni di euro hanno lasciato i conti di Fideuram. La rapidità e la dimensione del deflusso di capitale indicano che i sistemi transazionali non erano dotati di interruttori automatici (circuit breakers) basati su analisi comportamentali o volumetriche anomale. Un’uscita di cassa di tale entità in un breve lasso di tempo verso giurisdizioni ad alto rischio di riciclaggio avrebbe dovuto attivare un blocco cautelativo immediato. L’assenza di questo controllo ha permesso ai criminali di massimizzare il danno prima che la frode venisse scoperta. L’ecosistema Scudo231, attraverso i suoi motori di analisi predittiva, non si sarebbe limitato a reagire. Avrebbe analizzato la sequenza di transazioni come un pattern coerente con un attacco di tipo Business Email Compromise (BEC) o CEO Fraud, bloccando tutte le operazioni successive alla prima anomalia rilevata. Il sistema avrebbe generato un report dettagliato per l’Organismo di Vigilanza, documentando la violazione dei protocolli e fornendo gli elementi per una segnalazione di operazione sospetta (SOS) all’Unità di Informazione Finanziaria, mitigando così non solo il danno economico diretto ma anche il rischio di sanzioni per violazione della normativa antiriciclaggio.
La scoperta dell’ammanco ha dato il via a un’inchiesta coordinata dalla Procura di Milano, con a capo l’aggiunto Eugenio Fusco e i PM Barbara Benzi e Alfonso Serritiello. Le indagini della Polizia Postale hanno rapidamente escluso una violazione dei sistemi informatici della banca, confermando che l’attacco si è concentrato esclusivamente sulla manipolazione psicologica del fattore umano. Questo elemento è cruciale in ottica 231: la responsabilità dell’ente non sorge solo da una falla tecnologica, ma anche e soprattutto dalla mancata adozione di modelli organizzativi e gestionali idonei a prevenire reati commessi nell’interesse o a vantaggio dell’ente stesso, anche quando l’ente ne è vittima apparente. La truffa, infatti, espone l’istituto a un grave danno reputazionale e a possibili azioni legali da parte di terzi, configurando un rischio la cui mancata prevenzione può essere interpretata come una colpa di organizzazione.
L’azione degli inquirenti è stata rapida. Nel maggio scorso, la GIP Sonia Mancini ha firmato un decreto di sequestro preventivo, uno strumento giuridico volto a congelare i beni per impedire che il profitto del reato venga ulteriormente disperso. Grazie a complesse rogatorie internazionali, una parte significativa dei fondi è stata intercettata e bloccata. Oltre 40 milioni di euro sono stati congelati in Cina e altri 13 milioni presso una banca in Portogallo. Tuttavia, all’appello mancano ancora 36 milioni di euro. Questa somma, secondo gli investigatori, è stata rapidamente convertita in criptovalute, in particolare bitcoin, e trasferita su wallet anonimi, rendendo il tracciamento e il recupero estremamente complessi, se non impossibili. La conversione in asset digitali decentralizzati rappresenta la fase finale e più sofisticata del riciclaggio, progettata per recidere il legame tra i fondi e la loro origine illecita.
La vicenda di Fideuram non è un caso isolato, ma l’emblema di un’escalation criminale certificata dai dati. Secondo l’Association for Financial Professionals (Afp), nel 2025 il 74% delle organizzazioni è stato bersaglio di tentativi o attacchi riusciti di CEO Fraud, un aumento significativo rispetto al 63% dell’anno precedente. L’impatto economico è devastante: 269 milioni di euro sottratti nel solo 2025, con una crescita del 17,4% in un anno e un totale di oltre 828 milioni di euro rubati in quattro anni. Anche l’Enisa, l’agenzia europea per la cybersicurezza, ha lanciato l’allarme sull’uso crescente dell’intelligenza artificiale per rendere le truffe più credibili ed efficaci. La stessa Intesa Sanpaolo ha comunicato di aver abbattuto circa 5.000 video deepfake dall’inizio dell’anno, a testimonianza di una pressione criminale costante e tecnologicamente avanzata.
Sul piano giudiziario, l’inchiesta della Procura di Milano ha portato all’iscrizione di almeno un nome nel registro degli indagati, ma l’obiettivo è smantellare l’intera organizzazione internazionale che ha orchestrato il raggiro. La sfida principale rimane il recupero dei 36 milioni polverizzati in bitcoin. Tuttavia, per l’istituto di credito si apre un fronte altrettanto critico: quello della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. La Procura dovrà valutare se il modello organizzativo di Fideuram fosse concretamente idoneo ed efficacemente attuato per prevenire reati come la truffa. L’assenza di controlli specifici sulla catena autorizzativa per operazioni anomale, la mancanza di protocolli di verifica rafforzata e la permeabilità a tecniche di social engineering potrebbero essere interpretate come carenze organizzative che hanno agevolato la commissione del reato. In questo scenario, l’ente rischia non solo pesanti sanzioni pecuniarie, calcolate in quote sul fatturato, ma anche sanzioni interdittive come la sospensione dell’attività e, soprattutto, la confisca del profitto del reato, che in casi come questo può essere identificato con l’intero importo della truffa.
Qui si manifesta il valore strategico di un sistema di difesa proattivo. Un’organizzazione dotata di una piattaforma come Scudo231 non si limiterebbe a subire l’evento, ma disporrebbe di una prova tecnologica inattaccabile della propria diligenza. In sede processuale, sarebbe possibile produrre i log immutabili del sistema, che dimostrerebbero come l’operazione fraudolenta sia stata il risultato di un’elusione deliberata di controlli esistenti, attivi e documentati. La ricostruzione causale scientifica dell’evento, generata dall’ecosistema, fornirebbe al giudice la prova che l’ente aveva messo in campo tutte le misure ragionevolmente esigibili per prevenire quel tipo di reato. Questo sposterebbe la responsabilità dal piano della colpa organizzativa a quello della condotta individuale, proteggendo l’azienda dalle sanzioni più gravi previste dal decreto e preservandone l’integrità patrimoniale e reputazionale. Le attività di indagine proseguono nel tentativo di rintracciare i responsabili e le somme residue, mentre il mondo finanziario si interroga su come arginare una minaccia che unisce la più antica delle arti, l’inganno, con la più moderna delle tecnologie.