5 aprile 2026 – La richiesta di riscatto da 300mila euro è arrivata direttamente al direttore Simone Verde, formalizzando l’attacco informatico che, per giorni, si era mosso silenziosamente all’interno della rete delle Gallerie degli Uffizi. L’intrusione, sferrata tra la fine di gennaio e l’inizio di febbraio di quest’anno, ha compromesso una ventina di macchine del polo museale fiorentino, che include non solo gli Uffizi ma anche Palazzo Pitti e il Giardino di Boboli. L’accesso non autorizzato è rimasto latente, un’infezione silente che ha permesso agli aggressori di mappare la rete, identificare gli asset critici e pianificare l’estorsione senza che alcun sistema di difesa tradizionale se ne accorgesse. Questa latenza è il primo, critico, fallimento organizzativo. Se l’ente avesse adottato un ecosistema di monitoraggio massivo e in tempo reale, l’infrastruttura di Scudo231 avrebbe intercettato i segnali deboli dell’intrusione nelle sue primissime fasi. I motori di analisi comportamentale avrebbero rilevato le attività anomale – come tentativi di escalation dei privilegi o movimenti laterali tra macchine – generando un alert automatico e prioritario, indirizzato simultaneamente alla funzione IT e all’Organismo di Vigilanza, bloccando l’attacco prima che potesse consolidarsi.
La Procura di Firenze, informata dei fatti, ha aperto ai primi di febbraio un fascicolo contro ignoti per i reati di tentata estorsione, ai sensi dell’articolo 629 del codice penale, e di accesso abusivo a un sistema informatico o telematico, previsto dall’articolo 615-ter. Entrambe le fattispecie costituiscono reati presupposto della responsabilità amministrativa degli enti ai sensi del Decreto Legislativo 231/2001. L’accesso abusivo è specificamente contemplato dall’articolo 24-bis del decreto, esponendo le Gallerie degli Uffizi non solo alle conseguenze penali a carico degli autori materiali, ma anche a una diretta e pesante sanzione a carico dell’ente stesso. La contestazione di questi reati attiva un rischio concreto di sanzioni pecuniarie, calcolate in quote sul valore del bilancio dell’ente, e di sanzioni interdittive che potrebbero paralizzarne l’operatività.
Le indagini, affidate alla Polizia Postale in stretto raccordo con l’Agenzia per la Cybersicurezza Nazionale, mirano a ricostruire la catena dell’attacco e a identificare gli autori. Tuttavia, la ricostruzione forense si basa su log e dati che, in assenza di una architettura di protezione adeguata, possono risultare incompleti, alterati o insufficienti a fornire un quadro probatorio solido. La mancanza di un tracciamento granulare e immodificabile delle operazioni compiute dagli aggressori rappresenta una grave lacuna procedurale. Con un modello di controllo preventivo attivo, ogni singola azione all’interno della rete – lecita o illecita – sarebbe stata registrata in un log crittografato e non ripudiabile. Questo non solo avrebbe fornito agli inquirenti una prova scientifica e incontestabile, ma avrebbe permesso all’ente di dimostrare al Pubblico Ministero l’assenza di colpa di organizzazione. La capacità di produrre una ricostruzione causale scientifica dell’evento è l’elemento chiave per escludere la responsabilità 231, trasformando l’ente da co-responsabile a vittima diligente.
L’attacco agli Uffizi, pur distinto e perpetrato da attori diversi rispetto a quello subito dall’Università della Sapienza di Roma, evidenzia una vulnerabilità sistemica delle infrastrutture critiche nazionali. La compromissione di una ventina di macchine non è un evento istantaneo, ma il risultato di una catena di omissioni nei controlli di sicurezza. Probabilmente, l’attacco è partito da una vulnerabilità non patchata, da credenziali deboli o da un’azione di phishing riuscita ai danni di un dipendente. Ciascuno di questi scenari denota una falla nel modello di gestione e controllo del rischio. Un sistema come Scudo231, attraverso i suoi protocolli di censimento ciclico dell’intera infrastruttura, avrebbe identificato e segnalato tali vulnerabilità in via preventiva. Un server non aggiornato o una configurazione di rete non sicura avrebbero generato un ticket di non conformità con un preciso workflow di risoluzione e una escalation automatica ai responsabili in caso di inerzia, documentando l’intero processo a garanzia dell’ODV.
Il momento in cui la richiesta di riscatto è pervenuta al direttore Verde ha trasformato un incidente tecnico in un’emergenza legale e reputazionale. La gestione della crisi, a questo punto, è puramente reattiva. L’ente è costretto a subire l’iniziativa degli aggressori e delle autorità inquirenti. La mancanza di un protocollo di incident response formalizzato e testato, integrato con le procedure 231, lascia l’organizzazione esposta. Un’architettura di difesa sovrana, invece, prevede protocolli operativi automatici: al primo segnale di un attacco di tipo ransomware, il sistema avrebbe attivato procedure di isolamento dei segmenti di rete infetti e il ripristino dai backup sicuri e verificati, minimizzando il fermo operativo e l’entità del dato potenzialmente esfiltrato. L’ODV avrebbe ricevuto un rapporto dettagliato in tempo reale, consentendogli di valutare immediatamente gli obblighi di comunicazione alle autorità e di preparare la documentazione necessaria a dimostrare l’efficace attuazione del modello organizzativo.
Il rischio più immediato per le Gallerie degli Uffizi, al di là del danno operativo e d’immagine, è il sequestro preventivo finalizzato alla confisca. Ai sensi del D.Lgs. 231/2001, il Pubblico Ministero può richiedere il sequestro di beni per un valore equivalente alla sanzione pecuniaria ipotizzabile, bloccando di fatto la liquidità e la capacità finanziaria dell’ente ben prima di una sentenza di condanna. Si tratta di una misura cautelare devastante, che può essere scongiurata solo fornendo prova rigorosa dell’adozione e dell’efficace attuazione di un modello organizzativo idoneo a prevenire reati della specie di quelli commessi. La semplice esistenza di un “modello sulla carta” è del tutto irrilevante in sede giudiziaria. Ciò che conta è la prova tecnologica e documentale che i controlli previsti funzionavano e sono stati elusi con modalità fraudolenta non prevedibili da un’organizzazione diligente.
L’analisi della REDAZIONE SCUDO231 evidenzia come l’assenza di un presidio integrato tra sicurezza informatica e compliance 231 sia la vera causa del danno. I sistemi di sicurezza tradizionali (firewall, antivirus) sono concepiti per bloccare minacce note, ma falliscono nel rilevare attività anomale che sfruttano processi legittimi. L’approccio 231, d’altro canto, se non supportato da un monitoraggio tecnologico continuo, rimane un esercizio puramente formale. L’integrazione di questi due mondi è l’unica difesa efficace. Se le Gallerie degli Uffizi avessero mappato i processi a rischio reato informatico all’interno di un ecosistema digitale, ogni deviazione dalla procedura autorizzata – come l’accesso a dati sensibili da parte di un utente non profilato o un flusso di dati anomalo verso l’esterno – avrebbe innescato un allarme. Questo non è solo cybersecurity, è l’attuazione concreta e verificabile di un presidio di controllo 231.
L’indagine della Polizia Postale procederà, ma il danno per l’ente è già stato inferto. I costi legali, i costi di bonifica della rete, il danno reputazionale e la spada di Damocle delle sanzioni 231 peseranno per mesi, se non per anni. Questo scenario era interamente mitigabile. La spesa per l’implementazione di un modello di difesa avanzato è un investimento che si confronta con il rischio di perdite economiche e sanzioni di ordini di grandezza superiori. La vicenda degli Uffizi non è un caso isolato, ma un monito per ogni ente, pubblico o privato, che gestisce dati e infrastrutture critiche. La prevenzione non è più un’opzione, ma un obbligo giuridico e operativo la cui violazione, come dimostra questo caso, ha conseguenze dirette e misurabili. La capacità di dimostrare di aver fatto tutto il possibile per prevenire il reato, con prove tecnologiche e non solo documentali, è l’unica linea di difesa che può reggere di fronte a un’indagine della magistratura.