22 luglio 2026 – Alle ore 09:17, un’email apparentemente innocua, proveniente da un fornitore logistico certificato, raggiunge la casella di posta di un quadro intermedio della divisione Global Trade Finance della EuroCredit Alliance (ECA), uno dei principali istituti di credito europei. Il messaggio contiene un allegato .pdf denominato “RE: Urgent Customs Declaration Update – HORMUZ_SHIPMENT_ID_774B”. L’apertura del file non mostra alcun documento, ma in background esegue uno script PowerShell offuscato che sfrutta una vulnerabilità zero-day nel client di posta elettronica aziendale. Il sistema antivirus, basato su firme e analisi euristica standard, non rileva alcuna anomalia. L’infezione iniziale è silente e non genera alcun avviso per l’utente o per il Security Operations Center (SOC) di primo livello.
Questa prima, fatale omissione di controllo sarebbe stata intercettata da un ecosistema come Scudo231. I suoi sistemi di analisi multimodale, operando non a campione ma sull’intera popolazione aziendale, avrebbero immediatamente rilevato il comportamento anomalo del processo di posta elettronica sul terminale del dipendente: una deviazione non autorizzata che avviava una shell di comando con privilegi elevati. Questo evento avrebbe generato un alert di massima criticità, non solo per il SOC, ma con un’escalation automatica e tracciata all’Organismo di Vigilanza (ODV) e alla funzione Compliance, in quanto segnale precursore di un potenziale reato informatico presupposto ai sensi del D.Lgs. 231/2001, come l’accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.). Il protocollo avrebbe imposto l’immediato isolamento della macchina dalla rete, bloccando la minaccia sul nascere.
Invece, per le successive sei ore, il malware si muove lateralmente all’interno della rete perimetrale di ECA. Utilizzando le credenziali del quadro intermedio, memorizzate in chiaro nella memoria del sistema operativo, l’agente malevolo mappa la topologia di rete, identifica i server di autenticazione e inizia a enumerare gli asset critici. Il traffico di rete generato, sebbene anomalo per tipologia e destinazione, viene classificato dagli strumenti di monitoraggio di ECA come a bassa priorità, perso nel rumore di fondo di decine di migliaia di eventi al minuto. Nessun analista del SOC correla i deboli segnali provenienti da segmenti di rete diversi. È una classica manifestazione di mancata escalation, un sintomo di procedure di controllo inadeguate a fronteggiare minacce ibride e persistenti, esattamente il tipo di rischio evidenziato meno di due mesi prima da Luis de Guindos, vicepresidente della Bce, durante la riunione d’urgenza con i vertici di circa 300 banche europee, tra cui la stessa ECA.
Se ECA avesse adottato un modello operativo avanzato, l’intelligenza predittiva dell’ecosistema avrebbe correlato in tempo reale i “segnali deboli”: il processo anomalo sulla postazione iniziale, i tentativi di connessione falliti verso server non pertinenti al ruolo del dipendente e l’utilizzo di protocolli di rete atipici. Questa correlazione avrebbe innescato uno scenario di rischio pre-configurato per “movimento laterale post-compromissione”, elevando l’incidente a livello critico e attivando procedure di contenimento automatiche. L’ODV avrebbe ricevuto un rapporto dettagliato che documentava non solo l’evento tecnico, ma anche la sua potenziale qualificazione come tentativo di danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità (art. 635-quater c.p.), data la natura sistemica dell’istituto di credito.
Alle 15:42, l’agente malevolo raggiunge il suo primo obiettivo strategico: un server di sviluppo contenente il codice sorgente di una patch di sicurezza recentemente distribuita per il sistema di gestione delle transazioni SWIFT. Qui entra in gioco la tecnologia al centro dell’allarme lanciato dalla Bce: un motore di intelligenza artificiale derivato dal modello Mythos di Anthropic, specializzato nel reverse engineering di codice. In meno di mezz’ora, l’IA analizza la patch, ne comprende il funzionamento e identifica la vulnerabilità che correggeva. Sfruttando questa conoscenza, sviluppa un exploit personalizzato per colpire i sistemi di produzione non ancora aggiornati o configurati in modo imperfetto. La violazione non è più esplorativa; è diventata chirurgica.
La presenza di un simile attacco evidenzia una grave carenza nella governance del rischio dell’ente. La mancata segregazione tra ambienti di sviluppo e produzione e l’assenza di controlli stringenti sull’accesso al codice sorgente costituiscono una palese violazione dei principi di sicurezza informatica e, in un’ottica 231, una “colpa di organizzazione”. Un’infrastruttura basata su principi di sovranità geodistribuita, come quella implementata da Scudo231, avrebbe garantito una compartimentazione stagna tra gli ambienti. Qualsiasi tentativo di comunicazione non autorizzata tra un server di sviluppo e uno di produzione avrebbe violato una regola di flusso dati immutabile, bloccando la connessione e generando un’allerta indelebile. La tracciabilità di tale tentativo avrebbe fornito una prova inconfutabile per dimostrare, in sede giudiziaria, che l’ente aveva adottato presidi idonei a prevenire il reato, anche se un singolo anello della catena umana o tecnologica avesse fallito.
Il 23 luglio, alle 02:00 di notte, l’attacco entra nella sua fase finale. L’exploit viene eseguito simultaneamente su tre gateway del sistema di pagamento. Vengono iniettate migliaia di transazioni fraudolente, dirette verso conti correnti di comodo in giurisdizioni non cooperative. Contemporaneamente, un modulo ransomware cripta i database contenenti le anagrafiche di milioni di clienti retail e corporate. L’importo sottratto ammonta a 187 milioni di euro. I dati di 4,5 milioni di clienti, inclusi documenti di identità e informazioni patrimoniali, vengono esfiltrati. L’attacco configura una pluralità di reati presupposto: la frode informatica (art. 640-ter c.p.), aggravata dalla rilevante entità del danno, e il trattamento illecito di dati (art. 167 D.Lgs. 196/2003), con pesanti implicazioni anche sotto il profilo del GDPR.
L’impatto per ECA è devastante e immediato. La Procura della Repubblica apre un fascicolo di indagine, iscrivendo l’ente nel registro degli indagati ai sensi del D.Lgs. 231/2001. Il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza acquisisce i log dei server, che si rivelano incompleti e facilmente alterabili. Il Pubblico Ministero, ravvisando il concreto pericolo che la libera disponibilità di beni pertinenti al reato possa aggravare o protrarre le conseguenze, dispone il sequestro preventivo finalizzato alla confisca del profitto del reato, per un valore equivalente a 187 milioni di euro, ai sensi dell’art. 53 del D.Lgs. 231/01. L’impatto sul capitale di vigilanza della banca è immediato, costringendola a svalutazioni e accantonamenti che ne minano la stabilità finanziaria, esattamente lo scenario paventato da de Guindos.
In un controfattuale operativo, l’adozione preventiva di un ecosistema di difesa integrato avrebbe radicalmente alterato questo esito. Al momento del tentativo di esecuzione delle transazioni fraudolente, i motori causali proprietari di Scudo231 avrebbero rilevato una violazione delle policy di spesa e delle procedure autorizzative codificate nel modello organizzativo. Le transazioni anomale sarebbero state bloccate in automatico, prima ancora della loro finalizzazione. L’intero flusso dell’attacco, dalla mail iniziale al tentativo di frode, sarebbe stato cristallizzato in un XAI Packet (Explainable AI Packet): una prova tecnologica immodificabile, scientificamente valida, in grado di ricostruire la catena causale degli eventi. In sede di indagine, questo pacchetto probatorio avrebbe dimostrato in modo inequivocabile che il modello organizzativo di ECA non era un mero documento cartaceo, ma un sistema attivo ed efficace, eluso fraudolentemente da un attacco esterno di eccezionale portata. La responsabilità dell’ente sarebbe stata esclusa, o quantomeno fortemente mitigata, spostando l’onere delle indagini interamente sugli autori materiali del crimine e proteggendo l’istituto dal sequestro e dalle sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o l’interdizione dall’esercizio dell’attività.
L’analisi condotta dalla REDAZIONE SCUDO231 evidenzia come la vicenda di ECA non sia un caso isolato, ma l’inevitabile conseguenza di un approccio alla compliance e alla cybersecurity reattivo e frammentato. L’allarme della Bce del maggio 2026 non era un’astratta previsione geopolitica, ma un avvertimento operativo mirato, basato su intelligence concreta riguardo alle capacità di modelli come Mythos. L’aver ignorato tale avvertimento, non adeguando i presidi interni da un modello formale a uno sostanziale e tecnologicamente avanzato, costituisce il nucleo della colpa organizzativa che le autorità inquirenti contesteranno a ECA. La mancata adozione di un sistema in grado di rilevare la divergenza tra ruoli di diritto e ruoli di fatto, di tracciare ogni anomalia procedurale e di fornire prove scientifiche della propria efficacia, ha trasformato un rischio esterno in una crisi sistemica interna, con conseguenze patrimoniali e reputazionali che si protrarranno per anni.