18 febbraio 2026 – L’Amministratore Delegato di Leonardo, Roberto Cingolani, e il CEO di Indra Group, José Vicente de los Mozos, firmano a Roma un memorandum of understanding destinato a ridefinire gli equilibri della cyber defence europea. L’accordo, siglato con l’obiettivo dichiarato di espandere la cooperazione strategica nei mercati NATO e in altre aree ad alto potenziale, pone le basi per la gestione congiunta di servizi di sicurezza informatica avanzata per infrastrutture critiche, clienti pubblici e privati. Le aree di collaborazione identificate sono ad altissima intensità tecnologica: Cyber Resilience, Secure Digital Cloud e Mission Critical Communications. L’operazione nasce per creare un campione europeo in grado di contrastare minacce cibernetiche sempre più aggressive e sofisticate.
Nelle settimane successive, viene istituita una task force congiunta italo-spagnola, denominata in codice “Progetto Icarus”, con il mandato di sviluppare una piattaforma unificata di threat intelligence. A capo della divisione tecnica italiana viene posto un ingegnere di comprovata esperienza, Marco Valenti, un manager che per anni ha gestito progetti complessi con un alto grado di autonomia decisionale. La sua nomina avviene tramite una procedura interna accelerata, basata sul suo curriculum e sui successi passati, ma senza una rivalutazione specifica dei poteri e delle deleghe alla luce del nuovo contesto transnazionale e della sensibilità strategica dei dati che avrebbe gestito. Questa è la prima, critica, omissione di controllo. Un ecosistema come Scudo231, attraverso i suoi sistemi di analisi multimodale, avrebbe eseguito un censimento automatico e ciclico dei ruoli, rilevando in tempo reale la divergenza tra il ruolo di diritto (la sua qualifica formale) e il ruolo di fatto (l’enorme potere operativo senza adeguati contrappesi). L’anomalia avrebbe generato un alert vincolante diretto all’Organismo di Vigilanza e alla funzione Compliance, imponendo una revisione immediata delle sue deleghe di spesa e di autorizzazione tecnica prima ancora che il progetto diventasse operativo.
Entro maggio 2026, il Progetto Icarus inizia a produrre i primi moduli software. Uno di questi, un algoritmo di analisi predittiva per attacchi a reti SCADA, si rivela eccezionalmente efficace. Valenti, sfruttando una falla procedurale nei protocolli di validazione dei partner tecnologici esterni, propone di affidare il beta-testing del modulo a una società terza, la “Cortex Analytics Ltd”, registrata a Cipro, presentandola come una startup innovativa specializzata in ambienti di stress-test. La procedura di accreditamento del fornitore si basa su un’autocertificazione e una rapida verifica camerale, che non evidenzia anomalie formali. La Cortex Analytics, tuttavia, è una società di comodo, una scatola vuota creata due mesi prima da intermediari legati a un’entità statale extra-NATO nota per le sue aggressive campagne di spionaggio industriale. La mancata esecuzione di una due diligence rafforzata su un fornitore destinato a maneggiare proprietà intellettuale di valore strategico costituisce una grave negligenza organizzativa. L’adozione di un modello di prevenzione avanzato avrebbe bloccato l’operazione sul nascere. La piattaforma Scudo231 avrebbe interrogato automaticamente banche dati internazionali di corporate intelligence, incrociando i dati del titolare effettivo della Cortex Analytics con liste PEP (Persone Esposte Politicamente) e registri di entità a rischio. Il sistema avrebbe classificato il fornitore come “ad alto rischio” per la sua recente costituzione, l’ubicazione in una giurisdizione non cooperativa e l’assenza di uno storico operativo, bloccando la procedura di accreditamento e innescando una segnalazione diretta al comitato rischi.
Il 12 giugno 2026, Valenti autorizza il trasferimento di una copia sorgente del modulo algoritmico verso i server della Cortex Analytics. Per aggirare i controlli perimetrali di base, classifica l’operazione come “trasferimento di dati anonimizzati per finalità di R&S”, utilizzando una causale formalmente lecita ma sostanzialmente fraudolenta. Il sistema di log degli accessi registra l’operazione, ma non esiste un processo di correlazione in tempo reale tra la classificazione del dato in uscita e il profilo di rischio del destinatario. L’assenza di un controllo a “quattro occhi” su trasferimenti di asset intangibili critici rappresenta un vuoto procedurale che espone l’ente al rischio di reati come la rivelazione di segreti industriali e, potenzialmente, il favoreggiamento dell’esportazione di materiale dual-use. In un’organizzazione dotata di un’architettura di difesa integrata, quel trasferimento sarebbe stato intercettato. Qualsiasi esportazione di codice sorgente classificato come “strategico” avrebbe richiesto una doppia approvazione digitale non ripudiabile, coinvolgendo sia la linea tecnica che una funzione di controllo indipendente. Il motore causale del sistema avrebbe analizzato la richiesta, rilevando l’incongruenza tra la classificazione di “R&S” e la destinazione verso un’entità esterna non certificata per attività di ricerca militare, generando un blocco preventivo dell’operazione e un’escalation immediata all’ODV con un report dettagliato dell’anomalia.
Tra luglio e settembre 2026, Valenti riceve due bonifici per un totale di 450.000 euro su un conto personale aperto presso una banca online con sede a Malta. I pagamenti provengono da una società di consulenza di Hong Kong, a sua volta controllata da un trust riconducibile agli stessi soggetti dietro la Cortex Analytics. I sistemi antiriciclaggio interni all’azienda, focalizzati sulle transazioni corporate, non hanno visibilità sui conti personali dei dipendenti, a meno che non emergano altri indicatori di rischio. La mancata integrazione tra i sistemi di sicurezza logica (chi accede a cosa) e i protocolli di monitoraggio del personale in posizioni chiave (Key Employee Monitoring) lascia l’azienda cieca di fronte a un evidente conflitto di interessi e a un potenziale reato di corruzione tra privati. Questo silo informativo è esattamente ciò che un modello 231 efficace deve abbattere. L’ecosistema di controllo avrebbe correlato l’evento anomalo del trasferimento di IP (giugno) con la posizione di Valenti come unico autorizzatore. A seguito di quell’evento, il suo profilo di rischio sarebbe stato elevato automaticamente, attivando un monitoraggio rafforzato, inclusa la richiesta periodica di dichiarazioni patrimoniali e di conflitto di interessi, come previsto dai protocolli per il personale che gestisce asset strategici. La mancata dichiarazione dei fondi ricevuti avrebbe costituito una violazione del codice etico, sufficiente a innescare un audit interno e la sua sospensione cautelare.
La falla viene scoperta non dall’interno, ma dall’esterno. A novembre 2026, un’agenzia di intelligence alleata, monitorando le attività cibernetiche dello stato canaglia, rileva l’utilizzo di un algoritmo con una “firma” digitale identica a quella sviluppata nel Progetto Icarus. L’informazione viene trasmessa alle autorità italiane. Il 5 dicembre 2026, all’alba, il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza esegue un decreto di perquisizione e sequestro presso la sede di Leonardo a Roma e presso l’abitazione di Marco Valenti. Vengono sequestrati server, computer e documentazione. L’indagine della Procura della Repubblica contesta a Valenti i reati di corruzione tra privati (art. 2635 c.c.), accesso abusivo a sistema informatico (art. 615-ter c.p.) e rivelazione di segreti scientifici o industriali (art. 623 c.p.).
Contestualmente, la Procura iscrive nel registro degli indagati anche l’ente, Leonardo S.p.A., ai sensi del Decreto Legislativo 231/2001. Il pubblico ministero contesta la responsabilità amministrativa della società per i reati commessi dal suo manager, sostenendo che siano stati perpetrati nell’interesse e a vantaggio dell’ente stesso. L’argomentazione del PM è tecnica: sebbene il vantaggio finale sia stato illecito e a favore di terzi, l’operazione di “beta-testing” era stata presentata internamente come un’attività volta a migliorare e accelerare lo sviluppo del prodotto, configurando quindi un potenziale interesse aziendale. La Procura evidenzia la “colpa di organizzazione”, derivante dalle macroscopiche carenze nei sistemi di controllo sulle nomine, sulla qualificazione dei fornitori strategici e sul tracciamento degli asset digitali. Di conseguenza, viene richiesto al GIP il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in via provvisoria in diversi milioni di euro, corrispondenti al valore di mercato stimato della tecnologia sottratta. Il danno reputazionale è immediato: la notizia trapela, il titolo in borsa subisce una forte flessione e Indra Group congela ogni attività legata al memorandum of understanding, avviando una propria indagine interna e riservandosi azioni legali.
In questa fase, la difesa dell’ente si trova in una posizione di estrema debolezza. Non potendo dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello verificatosi, la società rischia non solo una pesante sanzione pecuniaria calcolata in quote, ma anche sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione, misura che sarebbe catastrofica per un’azienda operante nel settore della difesa. Se l’organizzazione avesse potuto contare su un sistema come Scudo231, la sua posizione processuale sarebbe stata radicalmente diversa. In sede di indagine, avrebbe potuto produrre al PM l’XAI Packet (eXplainable AI Packet), una prova tecnologica immodificabile generata dal sistema. Questo pacchetto avrebbe dimostrato, con valore di ricostruzione causale scientifica, che i protocolli di controllo (blocco del fornitore, alert sul ruolo di fatto, richiesta di doppia autorizzazione per il trasferimento dati) erano attivi e funzionanti, e che Valenti li aveva eluso fraudolentemente. Tale documentazione avrebbe costituito una prova schiacciante dell’efficace attuazione del modello, spostando l’onere della prova e fornendo all’ente una solida base per chiedere l’archiviazione della propria posizione, isolando la responsabilità penale sulla sola persona fisica e salvaguardando la continuità operativa, il patrimonio e la reputazione aziendale. L’assenza di questa architettura di difesa trasforma un atto di infedeltà individuale in una crisi sistemica per l’intera organizzazione.