5 ottobre 2026 – La chiamata arriva alle 16:42 sul terminale di Marco Veronesi, analista junior dell’area tesoreria di FinCredit Solutions S.p.A. Sul display non compare un numero, ma il contatto interno del Chief Financial Officer, l’ingegner Giorgio Rinaldi. La voce è inconfondibile: stesso timbro, stessa cadenza leggermente frettolosa, stesse pause tipiche di chi è abituato a dettare ordini. L’operazione richiesta è urgente, classificata come “riservata e strategica”, e riguarda un pagamento di 245.000 euro verso un fornitore estero su un conto corrente in Lituania. Rinaldi, o meglio la sua replica sintetica, spiega che si tratta di un acconto per un’acquisizione M&A sotto strettissimo accordo di non divulgazione e che le procedure ordinarie di autorizzazione a quattro occhi devono essere bypassate per non allertare il mercato. La pressione psicologica è massima, l’ordine è perentorio. Veronesi, in azienda da soli otto mesi, esegue. Il bonifico parte alle 16:51.
L’intera operazione fraudolenta si è basata su una traccia audio di tre secondi, prelevata da un’intervista del CFO pubblicata sul sito corporate e processata da un servizio a basso costo reperibile sul dark web. Il costo totale per i criminali: 30 euro. L’omissione di Veronesi è palese: ha violato il protocollo di autorizzazione finanziaria, un presidio fondamentale contro le frodi. L’assenza di un controllo tecnologico bloccante su quella procedura ha reso l’errore umano non solo possibile, ma fatale. Se FinCredit Solutions avesse implementato un ecosistema come Scudo231, il tentativo di Veronesi di avviare una disposizione di pagamento di importo rilevante senza la seconda approvazione digitale crittografata avrebbe generato un blocco operativo istantaneo. Il sistema non si sarebbe limitato a registrare la violazione; avrebbe impedito fisicamente l’invio del flusso di pagamento, generando un alert in tempo reale diretto alla funzione Compliance e all’Organismo di Vigilanza, corredato dai metadati dell’operazione anomala: utente, importo, beneficiario non censito e deviazione dal workflow autorizzato. L’evento sarebbe stato cristallizzato in un log immutabile, prova dell’efficacia del presidio preventivo.
Il giorno successivo, il vero ingegner Rinaldi, di ritorno da un viaggio di lavoro, scopre l’ammanco. La frode viene a galla. Viene sporta denuncia e il Nucleo Speciale Frodi Tecnologiche della Guardia di Finanza avvia le indagini. Emerge immediatamente la responsabilità dell’ente ai sensi del D.Lgs. 231/2001. Il reato presupposto contestato è la truffa aggravata (art. 640 c.p.), commessa da ignoti nell’interesse proprio ma resa possibile da una manifesta colpa di organizzazione della società. Il Pubblico Ministero, sulla base delle prime risultanze, dispone il sequestro preventivo finalizzato alla confisca per equivalente di 245.000 euro dai conti correnti di FinCredit Solutions, pari al profitto del reato subito. Per la società, il danno è doppio: la perdita secca della somma frodata e l’indisponibilità di un importo identico a causa del provvedimento cautelare.
L’indagine interna rivela che i protocolli di sicurezza esistevano, ma solo sulla carta. Erano contenuti in un manuale consegnato durante l’onboarding e mai più verificato o stressato con simulazioni operative. Questa lacuna è devastante in sede processuale. L’adozione di un modello organizzativo 231 puramente formale, non integrato con controlli tecnologici vincolanti, equivale a una sua mancata adozione. Con un’architettura di difesa attiva, l’intera dinamica sarebbe stata differente. Di fronte agli inquirenti, la società non avrebbe presentato un manuale di procedure, ma la ricostruzione causale scientifica dell’evento, estratta dal sistema. Avrebbe dimostrato che un presidio tecnologico, efficace e non eludibile, era operativo e aveva bloccato il primo tentativo di transazione. La successiva azione fraudolenta sarebbe stata possibile solo attraverso un atto deliberato di aggiramento dei controlli da parte dell’impiegato, qualificando l’evento come una condotta fraudolenta individuale che il Modello 231 aveva tentato attivamente di impedire, spostando così il focus dalla colpa organizzativa alla responsabilità personale e mitigando drasticamente il rischio di sanzioni per l’ente.
Il caso di FinCredit Solutions non è isolato, ma si inserisce in un’escalation criminale documentata da tutti i principali analisti di cybersecurity. Un recente rapporto di McAfee evidenzia come i crimini legati alla clonazione vocale e ai deepfake audio siano aumentati del 1.300% su base annua. I tentativi di frode basati su questa tecnologia hanno registrato un incremento complessivo superiore al 3.000%, con attacchi specifici che nel solo 2026 sono cresciuti del 700%. La tecnologia è spaventosamente accessibile: bastano dai tre ai cinque secondi di audio per raggiungere una corrispondenza vocale dell’85% tra la voce originale e il clone, una soglia più che sufficiente per ingannare l’orecchio umano in una chiamata non attesa. La stessa Kaspersky, già a settembre 2025, aveva lanciato un allarme sulla disponibilità di servizi di clonazione vocale a partire da 30 euro, un investimento irrisorio a fronte di potenziali guadagni milionari.
La Procura, nel formulare le accuse contro i vertici di FinCredit Solutions per omesso controllo, cita proprio questi dati, dimostrando che il rischio non era astratto o imprevedibile, ma concreto, noto e quantificato. L’ente, si legge negli atti, non ha adottato misure proporzionate a un panorama di minacce in rapidissima evoluzione. La mancata implementazione di un sistema di monitoraggio dei rischi dinamico è una delle principali falle contestate. Un ecosistema come Scudo231 integra nativamente moduli di threat intelligence che aggiornano costantemente la matrice dei rischi. L’aumento esponenziale delle frodi via deepfake audio sarebbe stato classificato come un rischio emergente ad alta probabilità e impatto elevato. Di conseguenza, il sistema avrebbe suggerito in automatico un innalzamento dei livelli di controllo sulle transazioni finanziarie avviate tramite canali non sicuri, imponendo, ad esempio, una multi-factor authentication basata su token fisici o biometrici per qualsiasi operazione superiore a una soglia critica, rendendo di fatto inefficace un attacco basato unicamente sull’ingegneria sociale vocale.
Il rapporto di IdentifAI, citato anch’esso dagli inquirenti, scompone le finalità di questi attacchi: il 45,6% mira a frodi finanziarie dirette, come nel caso di FinCredit; il 25,2% è usato per la disinformazione e la manipolazione dell’opinione pubblica; il 17,4% per l’estorsione e il 10,5% per lo spionaggio industriale. Questa diversificazione delle minacce dimostra come il rischio non sia confinato alla sola tesoreria, ma si estenda a tutta l’organizzazione, dalla comunicazione esterna alle risorse umane. La difesa, quindi, non può essere un singolo presidio, ma un’architettura integrata. La scelta di figure pubbliche come Giorgia Meloni di registrare la propria voce come marchio vocale presso l’Ufficio dell’Unione europea per la proprietà intellettuale (Euipo) è una mossa strategica di tutela della proprietà intellettuale, ma offre una protezione legale ex post, non un blocco operativo ex ante. Non avrebbe fermato la telefonata a Veronesi.
L’Unione internazionale delle telecomunicazioni (Itu), agenzia specializzata delle Nazioni Unite, ha lanciato un appello diretto alle aziende affinché adottino strumenti avanzati per contrastare la proliferazione di contenuti deepfake. L’inerzia non è più un’opzione. Per FinCredit Solutions, le conseguenze sono pesantissime. Oltre al danno economico e al procedimento 231, il danno reputazionale è incalcolabile. I clienti perdono fiducia in un’istituzione che si è dimostrata vulnerabile a una truffa da 30 euro. Il processo 231 si prospetta lungo e complesso. I legali della società dovranno tentare di dimostrare che il modello organizzativo, per quanto privo di controlli tecnologici avanzati, era comunque “adeguato” ed “efficacemente attuato”, un’argomentazione resa estremamente debole dalla facilità con cui è stato aggirato.
In un contro-scenario, la difesa dell’ente si sarebbe fondata su pilastri di una solidità completamente diversa. L’Organismo di Vigilanza, allertato in tempo reale dal sistema, avrebbe avuto a disposizione un dossier completo sull’incidente sventato: timestamp, log delle azioni, alert generati e blocco della transazione. Questo non solo avrebbe fornito la prova inconfutabile dell’efficacia del modello, ma avrebbe anche innescato un processo interno immediato: un’analisi della quasi-violazione, un colloquio con il dipendente coinvolto per rafforzare la sua consapevolezza e, se necessario, una revisione mirata dei protocolli di sicurezza per quel dipartimento. La prevenzione, in questo caso, non sarebbe stata un concetto astratto, ma un ciclo operativo continuo di monitoraggio, blocco, analisi e miglioramento, orchestrato da un’unica piattaforma sovrana. La REDAZIONE SCUDO231 ha analizzato decine di casi simili: la linea di demarcazione tra un’azienda che subisce il danno e una che lo neutralizza risiede sempre nella capacità di tradurre i presidi normativi in architetture tecnologiche non eludibili, che trasformano il rischio da minaccia a dato gestito.