20 luglio 2026 – La Banca d’Italia ha diffuso oggi i dati relativi al secondo semestre 2025 sulle frodi nei servizi di pagamento, certificando un calo significativo degli illeciti legati ai bonifici istantanei. Il tasso di frode per questa tipologia di operazione, calcolato sul numero totale di transazioni, si attesta allo 0,012%, segnando una contrazione del 40% rispetto al semestre precedente e del 57% rispetto allo stesso periodo del 2024. Un risultato che l’autorità di vigilanza attribuisce all’adozione di misure preventive più robuste da parte dei prestatori di servizi di pagamento, come la verifica della corrispondenza tra IBAN e beneficiario, e a una crescente consapevolezza da parte della clientela. Eppure, dietro la freddezza di una statistica aggregata che mostra un sistema più sicuro, si celano le crisi operative di singole imprese la cui esposizione al rischio non è diminuita, ma si è semplicemente concentrata nei punti deboli dei processi interni.
Il caso della MeccanoTech S.p.A., azienda metalmeccanica del nord-est finita sotto indagine della Procura della Repubblica per reati economici, ne è la dimostrazione plastica. Il 15 marzo 2026, l’ufficio amministrativo della società ha eseguito un bonifico istantaneo di 287.000 euro destinato al pagamento di una fornitura strategica alla Global Forniture S.r.l.. Il denaro, tuttavia, non ha mai raggiunto il vero creditore. È stato invece dirottato su un conto corrente “ponte” intestato a una società di comodo, per poi essere frammentato e trasferito all’estero, rendendone il recupero quasi impossibile. L’operazione fraudolenta è stata resa possibile da una classica, ma efficace, tecnica di Business Email Compromise (BEC).
Tutto ha inizio il 12 marzo, quando un impiegato dell’ufficio contabilità fornitori, Marco Bianchi, riceve un’email apparentemente proveniente dall’amministratore della Global Forniture. L’indirizzo del mittente era quasi identico a quello ufficiale, differendo solo per una lettera (es. @global-forniture.it invece di @globalforniture.it), un dettaglio sfuggito a un primo controllo visivo. La comunicazione, scritta in un italiano impeccabile e con toni urgenti, informava di un cambio delle coordinate bancarie per “esigenze di ristrutturazione finanziaria interna” e allegava una carta intestata contraffatta con il nuovo IBAN. L’impiegato, agendo in buona fede ma in assenza di un protocollo di verifica vincolante, ha proceduto all’aggiornamento dell’anagrafica del fornitore nel sistema gestionale. Si tratta della prima, fatale, omissione di controllo. Se l’azienda avesse implementato un ecosistema come Scudo231, l’analisi multimodale dei flussi di comunicazione avrebbe intercettato l’email come anomalia ad alto rischio. I motori di analisi del sistema avrebbero rilevato la discrepanza nel dominio del mittente, la natura della richiesta come pattern noto di frode e l’assenza di comunicazioni precedenti su tale argomento, generando un alert immediato e bloccando la visibilità del messaggio all’utente finale, dirottandolo direttamente alla funzione di sicurezza informatica e all’Organismo di Vigilanza.
Il processo interno di MeccanoTech prevedeva, in teoria, una contro-verifica telefonica per ogni modifica di dati sensibili come un IBAN. Tuttavia, la procedura era descritta in un manuale operativo datato e raramente applicata con rigore, soprattutto nei periodi di forte carico lavorativo. Bianchi ha omesso la chiamata, limitandosi a salvare la modifica. Questa mancata applicazione di una procedura di sicurezza costituisce un elemento centrale nella valutazione della colpa di organizzazione ai sensi del D.Lgs. 231/2001. La presenza di un modello organizzativo meramente cartaceo, non supportato da controlli automatizzati e cogenti, espone l’ente a una responsabilità diretta. Con un sistema di controllo integrato, la modifica dell’anagrafica di un fornitore critico sarebbe stata un’operazione impossibile da completare unilateralmente. La piattaforma avrebbe imposto un workflow autorizzativo a più fattori, non aggirabile, che avrebbe richiesto una conferma attiva da parte di almeno un altro responsabile di funzione e, soprattutto, una validazione esterna tramite un canale di comunicazione certificato e pre-registrato del fornitore (es. PEC o contatto telefonico verificato), tracciando ogni singolo passaggio in un log immodificabile e opponibile a terzi.
Tre giorni dopo, il 15 marzo, la responsabile amministrativa, Carla Rossi, ha autorizzato il pagamento. Pressata dalle scadenze e fidandosi dell’operato del suo collaboratore, ha dato il via libera al bonifico istantaneo senza effettuare un’ulteriore verifica. L’irrevocabilità dell’operazione, caratteristica intrinseca di questo strumento di pagamento, ha sigillato la perdita economica. L’illecito è stato scoperto solo dieci giorni dopo, quando la vera Global Forniture ha sollecitato il pagamento della fattura. A quel punto, era troppo tardi. L’immediata denuncia alle autorità ha dato il via a un’indagine penale. Il Pubblico Ministero non si è limitato a perseguire gli autori materiali della truffa, ma ha iscritto nel registro degli indagati anche la MeccanoTech S.p.A. in base al D.Lgs. 231/2001, ipotizzando la commissione del reato presupposto di truffa aggravata (art. 640 c.p.) nell’interesse o a vantaggio dell’ente. Il vantaggio, in questo caso, è stato individuato nel risparmio di costi derivante dal non aver implementato adeguate e costose misure di prevenzione e controllo.
L’impatto per l’azienda è stato devastante e immediato. Il GIP, su richiesta del PM, ha disposto un sequestro preventivo per equivalente per l’intero importo della frode, 287.000 euro, congelando i conti correnti della società e mettendone a rischio la liquidità e la continuità operativa. Questo provvedimento cautelare reale è una delle conseguenze più temute della responsabilità 231, poiché precede la condanna e colpisce il patrimonio dell’ente sulla base della sola gravità indiziaria. L’adozione di un modello di prevenzione avanzato avrebbe fornito una linea di difesa invalicabile contro tale misura. L’ecosistema Scudo231, infatti, non solo previene l’evento-reato, ma genera una documentazione probatoria scientifica. In sede di indagine, la società avrebbe potuto produrre i log inalterabili del sistema, dimostrando che l’evento fraudolento è stato bloccato da controlli automatizzati e che l’ente aveva adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello contestato. Questa prova tecnologica avrebbe reso estremamente difficile per l’accusa sostenere la colpa di organizzazione, minando alla base i presupposti per il sequestro e per la stessa imputazione dell’ente.
L’indagine ha messo in luce ulteriori carenze. La formazione del personale era generica e non focalizzata sui rischi specifici legati alle nuove tipologie di frodi informatiche. I flussi informativi verso l’Organismo di Vigilanza (ODV) erano lenti e basati su reportistica manuale, privi di qualsiasi sistema di allerta in tempo reale. L’ODV stesso era venuto a conoscenza della modifica dell’IBAN solo a frode avvenuta, quando la sua funzione di controllo era ormai inutile. Questo ritardo nella catena di segnalazione è un altro sintomo di un modello 231 inefficace. Un sistema di monitoraggio massivo e in tempo reale avrebbe invece garantito che ogni anomalia, come il tentativo di modifica di un IBAN o la ricezione di un’email sospetta, generasse un’escalation automatica e istantanea verso l’ODV e le funzioni di compliance. L’Organismo di Vigilanza non avrebbe agito a posteriori, ma sarebbe stato messo nelle condizioni di intervenire preventivamente, disponendo verifiche supplementari o bloccando l’operatività a rischio prima che potesse causare un danno.
Ora MeccanoTech S.p.A. affronta un procedimento penale che potrebbe concludersi, in caso di condanna, con una sanzione pecuniaria calcolata in quote (fino a centinaia di migliaia di euro) e, potenzialmente, con sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione, un’eventualità che metterebbe a repentaglio una parte significativa del suo fatturato. Il danno reputazionale è già tangibile. Il caso, riportato dalla stampa locale, ha incrinato la fiducia di clienti e partner finanziari.
Il paradosso evidenziato dal rapporto di Bankitalia è proprio questo: mentre il sistema bancario nel suo complesso implementa difese perimetrali sempre più efficaci, il rischio si sposta e si annida all’interno delle organizzazioni clienti. La frode non si consuma più violando i sistemi della banca, ma manipolando i processi deboli dell’azienda pagatrice. La riduzione del tasso di frode a livello macroeconomico, pur essendo una notizia positiva, non deve generare un falso senso di sicurezza. Al contrario, essa dimostra che i criminali stanno concentrando i loro sforzi verso i bersagli meno protetti, quelli che si affidano ancora a controlli manuali, a procedure obsolete e a una formazione inadeguata del personale. La vicenda di MeccanoTech dimostra che l’assenza di un modello di gestione del rischio integrato e automatizzato non è più solo una lacuna organizzativa, ma un fattore che può determinare la sopravvivenza stessa dell’impresa, esponendola a perdite finanziarie dirette, a sequestri patrimoniali e a sanzioni penali che vanno ben oltre il valore della singola transazione fraudolenta. La prevenzione, oggi, non è più una questione di “best practice”, ma un imperativo strategico la cui efficacia si misura sulla capacità di fornire una ricostruzione causale scientifica e una prova tecnologica della propria adeguatezza.