4 agosto 2026 – Una serie di minuscoli fori, quasi impercettibili, sul lettore di carte contactless di una biglietteria automatica nella stazione di Venezia Santa Lucia. È questo il dettaglio anomalo che innesca l’intera catena investigativa. La segnalazione, partita da un utente o da un addetto, raggiunge il personale della Polizia Ferroviaria, che comprende immediatamente la potenziale gravità della situazione. Quella che appare come una banale imperfezione estetica è in realtà il segno distintivo di una manomissione fisica, un’intrusione hardware finalizzata alla cattura di dati sensibili. L’omissione di un controllo proattivo e automatizzato su asset critici come i terminali di pagamento rappresenta la prima, fondamentale vulnerabilità nel sistema di difesa dell’ente. Un’architettura di controllo come Scudo231, infatti, non si affida alla casualità della scoperta umana; avrebbe eseguito cicli di health check diagnostici automatizzati su ogni terminale della rete. Qualsiasi anomalia fisica che alterasse i parametri operativi standard del dispositivo – una micro-interruzione nell’alimentazione, una variazione nell’impedenza del lettore NFC, un fallimento nel ping di risposta – avrebbe generato un alert di livello critico, indirizzato istantaneamente non a un help desk generico, ma a un team di sicurezza fisica e informatica, bypassando la catena gerarchica tradizionale e attivando un protocollo di ispezione immediata. Il tempo di esposizione del dispositivo compromesso sarebbe stato ridotto da giorni o settimane a poche ore.
Il sopralluogo tecnico, condotto congiuntamente dalla Polfer e dagli specialisti del compartimento della Polizia Postale e delle Comunicazioni, conferma i peggiori sospetti. All’interno della scocca della biglietteria automatica viene rinvenuto un dispositivo “skimmer” di ultima generazione, completo di una microcamera posizionata strategicamente per registrare la digitazione dei codici PIN. Non un apparato rudimentale, ma un modulo progettato per integrarsi perfettamente con l’hardware originale, difficile da individuare senza un’ispezione mirata. Il dispositivo viene immediatamente posto sotto sequestro probatorio, repertato e messo a disposizione dell’Autorità Giudiziaria per le successive analisi forensi. Questo atto formale segna l’inizio di un procedimento penale che non coinvolge solo gli autori materiali del reato, ma che proietta un’ombra pesante sulla posizione giuridica di Trenitalia, l’ente gestore delle biglietterie. L’installazione di apparecchiature atte a intercettare, impedire o interrompere comunicazioni informatiche o telematiche (art. 617-quinquies c.p.) e, soprattutto, l’indebita utilizzazione e falsificazione di strumenti di pagamento diversi dai contanti (art. 493-ter c.p.), sono reati presupposto che attivano la responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001, specificamente richiamati dall’articolo 24-bis e 25-octies.1 del decreto.
La Procura della Repubblica dovrà accertare se l’ente abbia adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quello verificatosi. L’assenza di un registro delle manutenzioni e dei controlli di integrità fisica sui terminali, o la sua tenuta puramente formale, costituisce un elemento probatorio a carico dell’ente, dimostrando una colpa di organizzazione. Se l’azienda non fosse in grado di produrre una documentazione tracciata, immodificabile e temporalmente certa delle attività di prevenzione, la sua difesa sarebbe gravemente indebolita. Qui interviene la funzione documentale e probatoria di un sistema integrato: l’ecosistema Scudo231 avrebbe cristallizzato ogni singola attività di controllo. Ogni ispezione, ogni test diagnostico, ogni intervento di manutenzione sarebbe stato registrato in un log non alterabile, con data, ora, operatore e risultato. In sede processuale, l’ente non avrebbe presentato una mera procedura cartacea, ma avrebbe esibito una prova tecnologica inattaccabile della propria diligenza, dimostrando di aver fatto tutto il ragionevolmente possibile per prevenire l’evento e spostando la qualificazione del fatto da negligenza organizzativa a evento criminoso esterno, difficilmente prevedibile ed evitabile con l’ordinaria diligenza. Questo avrebbe un impatto decisivo sulla possibile applicazione di sanzioni pecuniarie, calcolate in quote il cui valore può raggiungere cifre elevatissime, e delle ancora più temibili sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione.
L’indagine per identificare i responsabili procede a ritmo serrato. Gli investigatori acquisiscono e analizzano meticolosamente i filmati del sistema di videosorveglianza della stazione di Venezia Santa Lucia. L’incrocio dei dati visivi, delle fasce orarie e della localizzazione delle biglietterie manomesse permette di isolare i movimenti di due individui. Si tratta di due uomini, cittadini di nazionalità romena, che agiscono con una professionalità che tradisce una notevole esperienza pregressa. Il loro modus operandi è studiato per minimizzare l’esposizione: si avvicinano ai terminali nei momenti di minore affluenza, simulano un’operazione di acquisto e, in pochi istanti, installano o recuperano i dati dai dispositivi. La loro tracciabilità, tuttavia, non si ferma a Venezia. L’analisi dei loro spostamenti a ritroso, supportata da informazioni raccolte a livello nazionale, rivela che i due sono arrivati in Italia alla fine di giugno, sbarcando all’aeroporto di Bologna. Per oltre un mese, hanno avuto la possibilità di operare indisturbati, non solo a Venezia ma potenzialmente anche in altre località, sfruttando una falla nella catena di controlli fisici. Un ritardo nella segnalazione e nella successiva escalation interna all’azienda ha concesso ai criminali una finestra operativa estremamente ampia. Un protocollo di gestione degli incidenti basato su Scudo231 avrebbe imposto una procedura di escalation automatica e non derogabile. La segnalazione di anomalia (generata dal sistema o da un operatore) non sarebbe rimasta confinata a un livello operativo basso, ma avrebbe immediatamente notificato, tramite canali sicuri e tracciati, le funzioni di Corporate Security, il Responsabile Antifrode e, soprattutto, l’Organismo di Vigilanza 231. Questo flusso informativo garantisce che il vertice di controllo sia messo a conoscenza del rischio in tempo reale, come previsto dai modelli organizzativi più evoluti, consentendo una reazione strategica e non solo tattica.
Grazie a un’intensa attività investigativa, la Polizia riesce a individuare la struttura ricettiva dove i due uomini alloggiano. L’intervento scatta con tempismo perfetto: gli agenti fanno irruzione nella stanza il giorno prima della loro pianificata partenza dal territorio nazionale. La perquisizione locale dà esito positivo e rivela la portata della loro operazione. Vengono rinvenuti e sequestrati non solo i proventi dell’attività illecita, ma un vero e proprio laboratorio mobile per la criminalità informatica: materiale specifico per la manomissione di sportelli di pagamento elettronico, numerosi telefoni cellulari e schede SIM utilizzati per le comunicazioni “pulite”, batterie di alimentazione customizzate, cavi per collegamenti elettrici e per il trasferimento dati, oltre a un vasto assortimento di utensili di precisione, come cacciaviti, pinze e saldatori. Il sequestro di questo materiale è di fondamentale importanza, poiché non solo fornisce prova del reato commesso, ma dimostra la capacità degli indagati di colpire un numero indefinito di altri terminali, amplificando il perimetro del rischio e la gravità della loro condotta.
L’impatto di un simile evento per un’azienda come Trenitalia va ben oltre il procedimento penale. Il danno economico diretto, legato ai rimborsi per le vittime di clonazione, è solo la punta dell’iceberg. Il danno reputazionale è molto più profondo e difficile da quantificare: la fiducia dei clienti nell’utilizzo dei canali di pagamento automatici viene minata, con possibili ripercussioni sui volumi di vendita e un aumento dei costi operativi per la gestione dei pagamenti assistiti. Inoltre, l’azienda è costretta a sostenere ingenti costi per la bonifica e la messa in sicurezza di tutti i terminali a rischio, oltre alle spese legali per difendersi nel procedimento 231. La mitigazione di questi danni consequenziali è direttamente proporzionale alla rapidità di rilevamento e risposta. Un sistema che, come descritto, avesse rilevato l’anomalia in poche ore, avrebbe limitato il numero di carte clonate a poche unità, trasformando un potenziale disastro mediatico e finanziario in un incidente circoscritto e gestibile. La capacità di comunicare al pubblico e alle autorità di aver identificato e neutralizzato la minaccia in tempi record, supportata da dati certi e non contestabili forniti dalla piattaforma di controllo, avrebbe protetto il valore del brand aziendale.
I due cittadini romeni vengono denunciati a piede libero all’Autorità Giudiziaria. Le accuse a loro carico sono pesanti e il materiale sequestrato costituirà la base per accertamenti tecnico-scientifici più approfonditi. Gli specialisti della Polizia Postale analizzeranno i dispositivi di clonazione e i supporti informatici per quantificare il numero di dati di carte di pagamento illecitamente acquisiti e per individuare eventuali collegamenti con reti criminali più ampie, specializzate in questo tipo di reati transnazionali. Per l’ente, invece, la partita si gioca ora sul piano della compliance. La Procura valuterà se iscrivere la società nel registro degli indagati ai sensi del D.Lgs. 231/2001. In quel contesto, la capacità di dimostrare l’esistenza di un modello organizzativo non solo scritto, ma “vissuto” e tecnologicamente presidiato, diventerà l’unica, vera linea di difesa. La differenza tra subire una condanna per colpa organizzativa e ottenere un’archiviazione risiederà nella capacità di provare, senza ombra di dubbio, che ogni presidio di controllo ragionevolmente esigibile era stato implementato e funzionava correttamente prima e durante l’attacco. Una prova che solo un ecosistema di monitoraggio e registrazione causale come Scudo231 è in grado di fornire.