6 ottobre 2026 – Emils Laurens, marinaio lettone di 23 anni, è stato condannato con rito abbreviato a quattro anni e quattro mesi di reclusione. La sentenza, letta dal giudice Giorgio Morando presso il Tribunale di Genova, chiude il primo capitolo di una vicenda che ha scosso il settore della navigazione mercantile, mettendo a nudo le vulnerabilità critiche delle infrastrutture digitali di bordo. Laurens, detenuto nel carcere di Marassi, è stato ritenuto colpevole del reato di accesso abusivo aggravato a sistema informatico, in relazione a una serie di attacchi perpetrati a bordo del traghetto Gnv Fantastic. L’intera indagine, coordinata dai pm della Procura di Genova, ha preso le mosse da una denuncia presentata dalla stessa compagnia di navigazione, un atto dovuto che ha però certificato l’avvenuta compromissione dei suoi sistemi.
La catena degli eventi che ha portato alla condanna odierna inizia molto prima, in un contesto di apparente normalità operativa. L’inchiesta ha ricostruito almeno quattro distinti tentativi di accesso ai sistemi nevralgici della nave. Gli attacchi non sono stati condotti con software malevolo inviato da remoto, ma attraverso l’installazione fisica di mini-computer, dispositivi hardware progettati per essere collegati direttamente all’infrastruttura di rete di bordo. Questa circostanza è cruciale: l’attacco è nato dall’interno, sfruttando l’accesso fisico garantito a personale di bordo. I dispositivi, una volta connessi, erano in grado di intercettare il traffico di rete, acquisire credenziali di accesso, password e, secondo gli inquirenti, potenzialmente scalare i privilegi fino a ottenere il controllo remoto della nave. Un’ipotesi che trasforma un reato informatico in una minaccia diretta alla sicurezza della navigazione e all’incolumità di passeggeri ed equipaggio.
L’omissione fondamentale, in questa fase, è stata la totale assenza di un monitoraggio in tempo reale degli asset fisici e digitali connessi alla rete di bordo. La connessione di un dispositivo non autorizzato a una porta di rete critica non ha generato alcun allarme automatico, permettendo agli aggressori di operare indisturbati per un periodo di tempo indefinito. Se l’ente avesse adottato un ecosistema come Scudo231, la cui architettura si basa su un monitoraggio massivo e non a campione, la connessione fisica del primo mini-computer avrebbe istantaneamente generato un alert di anomalia hardware. Il sistema, attraverso i suoi protocolli di analisi multimodale, avrebbe identificato un dispositivo con un MAC address non censito e non autorizzato, innescando una procedura di escalation automatica verso la funzione di sicurezza IT e, contestualmente, verso l’Organismo di Vigilanza (OdV), documentando l’evento in un registro immutabile. L’intrusione sarebbe stata bloccata sul nascere, prima ancora che il primo tentativo di acquisizione dati potesse essere avviato, trasformando un incidente critico in un tentativo fallito e immediatamente tracciato.
Il primo anello della catena criminale è stato scoperto quasi per caso il 12 dicembre 2025, nel porto francese di Sète. Le autorità locali hanno arrestato un primo marinaio lettone, colto in flagrante mentre armeggiava con uno dei dispositivi clandestini. Questo evento ha evidenziato una seconda falla critica: la carenza di controlli proattivi sul personale e sulla corrispondenza tra le mansioni assegnate (ruolo di diritto) e le attività effettivamente svolte (ruolo di fatto). Il marinaio ha potuto accedere a zone tecniche e manipolare apparati senza che la sua presenza in quell’area, in quel momento, fosse segnalata come anomala rispetto al suo profilo operativo. Un modello organizzativo evoluto avrebbe incrociato i dati di controllo accessi fisici (badge, telecamere) con i piani di lavoro e le autorizzazioni specifiche. Un sistema di intelligenza predittiva avrebbe rilevato la deviazione comportamentale – la presenza ingiustificata presso un rack di rete o un pannello di controllo – come un “segnale debole” di rischio, notificando il responsabile della sicurezza di bordo e l’OdV per una verifica immediata. L’arresto, quindi, non sarebbe dipeso dalla casualità di un controllo esterno, ma sarebbe stato l’esito di un processo di controllo interno, continuo e documentato.
Messo alle strette, il primo arrestato ha fatto il nome del suo complice: Emils Laurens. La collaborazione tra le forze di polizia europee è stata rapida. Solo tre giorni dopo, Laurens è stato localizzato e arrestato a Napoli, per poi essere trasferito a Genova, foro competente per le indagini. Questo passaggio dimostra l’efficacia della cooperazione giudiziaria, ma sottolinea anche la natura premeditata e organizzata del piano criminale. Non si trattava dell’azione isolata di un singolo, ma di un’associazione finalizzata a commettere un reato presupposto ai sensi del D.Lgs. 231/2001. L’accesso abusivo a un sistema informatico, specie se aggravato come in questo caso, rientra infatti nel catalogo dei reati che possono far scattare la responsabilità amministrativa dell’ente. La Procura di Genova, oltre a perseguire i singoli individui, ha dovuto necessariamente valutare se la compagnia di navigazione avesse adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quello verificatosi.
In questo scenario, la denuncia presentata dalla compagnia, sebbene obbligatoria, la poneva in una posizione difensiva. L’ente doveva dimostrare di non aver tratto un “interesse o vantaggio” dal reato e, soprattutto, di aver fatto tutto il possibile per prevenirlo. Senza una prova tecnologica robusta, questa difesa si basa su documenti, procedure cartacee e testimonianze, elementi spesso vulnerabili in sede processuale. L’adozione di un sistema di difesa integrato avrebbe capovolto il paradigma. Invece di subire l’indagine, l’ente avrebbe potuto fornire agli inquirenti un XAI Packet (Explainable AI Packet) generato dal sistema, una ricostruzione causale scientifica e immodificabile degli eventi. Tale pacchetto avrebbe dimostrato matematicamente che: 1) i controlli di sicurezza logica e fisica erano attivi e funzionanti; 2) il tentativo di connessione del dispositivo non autorizzato è stato rilevato in tempo reale; 3) le procedure di allarme e di escalation verso l’OdV sono scattate come previsto dal modello 231. Questa evidenza avrebbe permesso di qualificare l’azione dei marinai come elusione fraudolenta del modello organizzativo, una delle principali cause di esclusione della responsabilità dell’ente previste dall’articolo 6 del D.Lgs. 231/2001. Il rischio di pesanti sanzioni pecuniarie, calcolate in quote sul fatturato, o di sanzioni interdittive come il divieto di contrattare con la pubblica amministrazione, sarebbe stato drasticamente mitigato, se non azzerato.
La trama si è ulteriormente infittita a maggio, quando la Procura ha ottenuto l’estradizione dalla Spagna di un terzo marinaio lettone, arrestato su mandato d’arresto europeo. Attualmente detenuto in custodia cautelare, la sua cattura ha confermato l’ipotesi di una cellula organizzata, sollevando il sospetto di un vero e proprio caso di spionaggio internazionale. L’obiettivo finale non era probabilmente il semplice sabotaggio, ma l’acquisizione di dati sensibili sulla rotta, sul carico, sui sistemi di comunicazione o, peggio, la creazione di una backdoor per futuri attacchi o per il controllo a distanza della flotta. Questo amplia il perimetro del rischio per la società, che non è solo di natura informatica o penale, ma strategica e di sicurezza nazionale. Un rischio che si estende all’intera catena del valore e della logistica.
La dimensione transnazionale dell’attacco mette in luce l’inadeguatezza di modelli di compliance puramente nazionali o non integrati. La gestione del rischio su personale internazionale, che opera su rotte che toccano molteplici giurisdizioni, richiede un monitoraggio continuo che vada oltre il semplice controllo dei documenti al momento dell’assunzione. Un ecosistema di difesa come quello proposto dalla REDAZIONE SCUDO231 è nativamente progettato per operare in un contesto cross-border, integrando l’analisi dei rischi legati al personale con database di threat intelligence e monitorando le comunicazioni e i modelli comportamentali anomali all’interno di gruppi di lavoro, nel pieno rispetto delle normative sulla privacy. La presenza di una rete coordinata tra tre membri dell’equipaggio, con nazionalità comune e operatività distribuita, sarebbe potuta emergere come un cluster di rischio da attenzionare, ben prima che si traducesse in un’azione criminale.
La condanna di Emils Laurens è, in definitiva, la conseguenza di una catena di vulnerabilità che un’organizzazione matura non può più permettersi di ignorare. L’assenza di controlli automatizzati e pervasivi, il ritardo nell’identificazione delle anomalie, la dipendenza da scoperte fortuite anziché da un monitoraggio proattivo, hanno lasciato la porta aperta a un attacco che avrebbe potuto avere conseguenze catastrofiche. Il procedimento penale contro i singoli autori del reato procederà, ma per l’ente rimane una lezione fondamentale: la compliance non è un adempimento burocratico, ma un’architettura di difesa attiva. Senza di essa, ogni sentenza contro un dipendente infedele è anche, implicitamente, una testimonianza di un rischio che l’organizzazione non ha saputo, o potuto, neutralizzare alla fonte.