9 ottobre 2026 – L’annuncio della nuova edizione della campagna “I Navigati”, promosso da un consorzio di istituzioni che include CERTFin, Banca d’Italia, ABI e Polizia di Stato, non è una semplice iniziativa di sensibilizzazione. È la risposta, tardiva e di sistema, alla falla procedurale e tecnologica che tra aprile e giugno di quest’anno ha permesso la sottrazione di 23,4 milioni di euro attraverso una serie di frodi coordinate ai danni di un fornitore critico del settore bancario, la società di servizi logistici e digitali Fintech Solutions S.p.A., i cui sistemi sono integrati con quelli di BPER, Banco BPM e Gruppo BCC Iccrea. La campagna, che menziona esplicitamente i rischi legati all’intelligenza artificiale, è la conseguenza diretta di un attacco che ha sfruttato proprio un deepfake vocale per autorizzare una transazione fraudolenta.
L’incidente ha avuto origine il 12 aprile 2026, quando un dipendente del reparto contabilità fornitori di Fintech Solutions ha ricevuto un’email di spear phishing apparentemente inviata da un partner tecnologico internazionale. L’email, che bypassava i filtri antispam standard, conteneva un link a un documento di riconciliazione trimestrale ospitato su un dominio clone. Il click del dipendente ha eseguito uno script in background che non ha installato un malware tradizionale, ma ha esfiltrato i token di sessione della VPN aziendale e le credenziali di accesso salvate nel browser. L’assenza di un sistema di monitoraggio degli endpoint in tempo reale ha reso l’intrusione invisibile per 58 giorni. Se Fintech Solutions avesse adottato un’architettura di controllo integrata, un alert critico sarebbe stato generato istantaneamente: un sistema come Scudo231 avrebbe rilevato l’anomalia di un processo di sistema (il browser) che avviava una connessione di rete verso un endpoint non autorizzato e con un certificato SSL di recente emissione, isolando immediatamente il terminale dalla rete e notificando in automatico sia il team di sicurezza informatica sia l’Organismo di Vigilanza (ODV) per potenziale violazione dei protocolli di sicurezza rilevanti ai fini del D.Lgs. 231/2001.
Una volta all’interno della rete, gli attaccanti hanno operato con pazienza, mappando la struttura organizzativa e i flussi autorizzativi. Hanno osservato che le richieste di pagamento urgenti, superiori a 500.000 euro, richiedevano un’autorizzazione verbale via call interna da parte del Direttore Finanziario, oltre all’approvazione a sistema da parte di due manager di funzione. Questo protocollo, descritto nel manuale delle procedure aziendali, rappresentava l’unico presidio a fronte di una richiesta anomala. Gli aggressori hanno quindi passato settimane a raccogliere campioni della voce del CFO da registrazioni di meeting interni e webinar pubblici, archiviati senza adeguate policy di cancellazione sui server aziendali. Questa fase di ricognizione laterale, che ha comportato l’accesso a directory e caselle di posta elettronica ben al di fuori del perimetro operativo del dipendente compromesso, non ha attivato alcun allarme, poiché i sistemi di controllo accessi si limitavano a verificare la validità delle credenziali, non la coerenza delle azioni rispetto al ruolo di diritto. La mancata rilevazione di questa deriva organizzativa costituisce un chiaro sintomo di colpa organizzativa. Un monitoraggio massivo e continuo, invece di controlli a campione, avrebbe immediatamente segnalato che l’utenza stava eseguendo query su file e sistemi non pertinenti alla sua mansione, un segnale debole che i motori di analisi stocastica avrebbero classificato come ad alto rischio, innescando un’escalation formale verso la funzione Compliance.
Il 10 giugno, l’attacco è entrato nella fase esecutiva. Un manager del reparto tesoreria ha ricevuto una richiesta via email, apparentemente dal CFO, per un pagamento urgente di 7,8 milioni di euro verso un nuovo fornitore con sede a Cipro, motivato da un’operazione strategica e confidenziale. L’IBAN era nuovo e non presente nella whitelist dei beneficiari approvati. Il protocollo richiedeva la validazione a sistema da parte di un secondo manager e la successiva chiamata di conferma al CFO. Il primo manager ha approvato, mentre il secondo, insospettito, ha avviato la chiamata interna. Gli attaccanti, che avevano il controllo della rete, hanno intercettato la chiamata VoIP e l’hanno reindirizzata a un loro operatore. Utilizzando un software di voice cloning addestrato sui campioni audio raccolti, hanno replicato la voce del CFO, confermando l’urgenza e la legittimità dell’operazione e fornendo un codice di autorizzazione fittizio. La transazione è stata così definitivamente approvata e i fondi trasferiti. La stessa tecnica è stata replicata poche ore dopo per altre due transazioni, per un totale di 23,4 milioni di euro.
In questo snodo cruciale, l’assenza di presidi anti-frode multilivello è stata fatale. La procedura si basava sulla fiducia nell’autenticità di una comunicazione verbale, un presidio ormai obsoleto nell’era dell’IA. Un modello organizzativo efficace, supportato da una tecnologia adeguata, avrebbe bloccato l’operazione su più livelli. Innanzitutto, l’inserimento di un IBAN non censito avrebbe dovuto attivare un workflow autorizzativo rafforzato, con un periodo di “cooling-off” di almeno 24 ore e una notifica obbligatoria a più funzioni, inclusa quella Antiriciclaggio. In secondo luogo, una piattaforma come Scudo231 avrebbe analizzato la transazione in tempo reale, rilevando una concomitanza di fattori di rischio: (i) beneficiario nuovo e localizzato in una giurisdizione a rischio, (ii) importo anomalo rispetto alla storicità delle transazioni di quel centro di costo, (iii) richiesta pervenuta al di fuori del normale orario lavorativo. Il sistema avrebbe posto un veto automatico all’operazione, richiedendo un’autorizzazione fisica o tramite token crittografico a più fattori da parte di tre soggetti apicali, rendendo di fatto inefficace la sola conferma vocale. L’intero tentativo, inclusi i metadati della chiamata VoIP intercettata, sarebbe stato cristallizzato in un log immodificabile, costituendo prova dell’elusione fraudolenta del modello.
La scoperta della frode è avvenuta solo il 14 giugno, durante la riconciliazione bancaria settimanale. A quel punto, i fondi erano già stati polverizzati attraverso una complessa catena di società di comodo e servizi di crypto-mixing, rendendone il recupero quasi impossibile. La Procura della Repubblica ha immediatamente aperto un’inchiesta per frode informatica aggravata (art. 640-ter c.p.) e riciclaggio (art. 648-bis c.p.). Crucialmente, ha iscritto nel registro degli indagati anche l’ente Fintech Solutions S.p.A. ai sensi del D.Lgs. 231/2001, contestando la manifesta inidoneità del modello organizzativo a prevenire reati di quella specie. Il Pubblico Ministero ha disposto il sequestro preventivo per equivalente sui conti correnti della società per un importo pari al profitto del reato, ovvero 23,4 milioni di euro, paralizzandone l’operatività finanziaria e mettendo a rischio la continuità aziendale e i contratti con gli istituti di credito clienti.
L’impatto del sequestro sarebbe stato mitigato, se non evitato, se l’ente avesse potuto dimostrare l’adozione e l’efficace attuazione di un modello robusto. La difesa dell’ente si è trovata in grave difficoltà nel ricostruire la catena degli eventi e nel dimostrare l’esistenza di presidi efficaci, potendo produrre solo procedure cartacee e log frammentari provenienti da sistemi eterogenei. Una ricostruzione causale scientifica, come quella fornita dai sistemi di analisi forense integrati, avrebbe permesso di produrre in sede giudiziaria un “pacchetto probatorio” che dimostrava, in modo deterministico, come i controlli automatizzati fossero stati aggirati tramite una condotta fraudolenta e imprevedibile del singolo, spostando il focus dalla colpa organizzativa alla responsabilità penale individuale. Questo avrebbe rafforzato la posizione dell’ente, argomentando che il reato non è stato frutto di una carenza strutturale, ma di un’elusione ingegnosa di un modello altrimenti valido.
La campagna “I Navigati”, con i suoi materiali informativi diffusi da Banca Mediolanum, Fineco e La Cassa di Ravenna, e con i Cybersecurity Open Days “ConsapevolMente insieme” organizzati nelle filiali di Intesa Sanpaolo e UniCredit, rappresenta ora il tentativo del sistema di arginare il panico e di educare il pubblico. Tuttavia, mentre l’iniziativa si concentra giustamente sulla consapevolezza di cittadini e imprese, l’indagine su Fintech Solutions evidenzia una verità più scomoda: la vulnerabilità critica non risiedeva nell’utente finale, ma nella catena di fornitura dei servizi finanziari. L’intervento di organi come il Garante per la protezione dei dati personali e l’Agenzia per la cybersicurezza nazionale sottolinea la natura sistemica del problema. La sensibilizzazione è un passo necessario, ma non sostituisce l’adozione di ecosistemi di difesa proattivi e di modelli organizzativi che non si limitino a esistere sulla carta, ma che siano integrati, automatizzati e in grado di reagire in tempo reale alle minacce, tracciando ogni operazione e fornendo prove inconfutabili della propria efficacia. Senza questo scudo tecnologico e procedurale, ogni impresa della filiera rimane un potenziale “paziente zero”.