8 agosto 2026 – Alle ore 04:17 del mattino, i sistemi SCADA della multi-utility nazionale EnerTel Servizi S.p.A. hanno iniziato a registrare una cascata di disconnessioni anomale. In meno di sette minuti, l’intera rete di distribuzione elettrica per il quadrante nord-orientale del Paese è entrata in uno stato di stallo, lasciando tre regioni al buio. Contemporaneamente, l’infrastruttura di telecomunicazioni gestita dalla stessa società ha cessato di funzionare, interrompendo le comunicazioni fisse e mobili per milioni di utenti e mandando in tilt i servizi pubblici essenziali che su di essa si appoggiavano. L’evento, prefigurato appena tre mesi prima da un allarmante rapporto del Fondo Monetario Internazionale, ha segnato il primo, devastante shock macro-finanziario innescato da un cyberattacco potenziato da intelligenza artificiale sul suolo europeo.
Le indagini, coordinate dalla Procura della Repubblica e condotte dal Nucleo Speciale Frodi Tecnologiche della Guardia di Finanza, hanno ricostruito una catena di eventi la cui origine è tanto banale quanto letale. Il punto di ingresso è stato un account di posta elettronica appartenente a un funzionario dell’ufficio acquisti, raggiunto da un’email di spear phishing altamente sofisticata. L’IA generativa aveva creato un messaggio perfettamente contestualizzato, replicando lo stile, il gergo e persino i riferimenti a progetti interni di un fornitore abituale, inducendo il dipendente ad aprire un allegato apparentemente innocuo: un file di offerta commerciale in formato PDF. L’omissione di un controllo granulare sugli allegati provenienti da domini esterni, unita a una formazione del personale basata su simulazioni di phishing ormai obsolete, ha rappresentato la prima falla critica. Un ecosistema come Scudo231, invece, avrebbe intercettato l’anomalia in tempo reale. Il suo motore di analisi stocastica, operando a livello di processo e non di semplice firma virale, avrebbe rilevato il comportamento anomalo del file all’atto della sua esecuzione in ambiente sandbox, bloccando l’apertura e generando un alert qualificato diretto al Chief Information Security Officer e all’Organismo di Vigilanza, corredato dall’identificativo della postazione e dell’utente.
Una volta eseguito, il malware si è mosso con una logica predittiva sconcertante. Non ha agito immediatamente, ma ha avviato una fase di ricognizione silenziosa, mappando la rete interna di EnerTel Servizi per 72 ore. Ha sfruttato vulnerabilità note ma non ancora sanate su alcuni server intermedi, dimostrando una carenza nei processi di patch management dell’azienda. Questo ritardo di 72 ore nella rilevazione, durante il quale l’agente malevolo ha potuto muoversi lateralmente dai sistemi amministrativi a quelli operativi (OT), ha costituito un’aggravante decisiva, dimostrando l’assenza di un monitoraggio attivo e pervasivo. La presenza di un sistema di monitoraggio massivo e real-time, che censisce costantemente il comportamento di ogni asset aziendale, avrebbe reso impossibile un simile movimento laterale silenzioso. Qualsiasi tentativo di comunicazione da un segmento di rete amministrativo verso la rete OT, al di fuori dei protocolli autorizzati e tracciati, avrebbe attivato un protocollo di isolamento automatico del nodo infetto e una notifica di escalation, trasformando un potenziale disastro in un incidente circoscritto e gestibile in pochi minuti.
La violazione dei sistemi SCADA non è avvenuta tramite un attacco frontale, ma attraverso la compromissione delle credenziali di un tecnico di manutenzione, esfiltrate durante la fase di ricognizione. L’assenza di un’autenticazione a più fattori obbligatoria per l’accesso alle infrastrutture critiche è stata la falla procedurale che ha permesso all’attacco di raggiungere il suo obiettivo finale. Questa mancanza non è solo una debolezza tecnica, ma configura un preciso profilo di responsabilità per l’ente ai sensi del D.Lgs. 231/2001, in particolare in relazione ai reati informatici previsti dall’art. 24-bis. La Procura ha infatti immediatamente iscritto nel registro degli indagati non solo gli amministratori, ma anche la stessa EnerTel Servizi S.p.A. in qualità di ente, ipotizzando una colpa di organizzazione per non aver predisposto modelli e protocolli idonei a prevenire reati di quella specie.
In un simile scenario, l’adozione preventiva di un’architettura di difesa come Scudo231 avrebbe fornito agli inquirenti una ricostruzione causale scientifica e immodificabile dell’evento. Il sistema avrebbe generato un XAI Packet (Explainable AI Packet), ovvero un registro forense crittografato e non ripudiabile contenente ogni singola azione anomala, ogni alert generato e ogni contromisura automatica tentata. Questo strumento probatorio avrebbe dimostrato che l’ente aveva implementato le migliori tecnologie disponibili per la prevenzione, spostando l’eventuale responsabilità da una colpa organizzativa a un’elusione fraudolenta dei protocolli da parte di un singolo o a un evento esterno di natura eccezionale, con un impatto radicalmente diverso sul piano sanzionatorio. La difesa dell’ente non si sarebbe basata su documenti cartacei e interviste, ma su una prova tecnologica inattaccabile.
L’impatto economico è stato immediato e devastante. Oltre al danno diretto causato dall’interruzione dei servizi, quantificato in centinaia di milioni di euro, l’azienda ha subito un crollo del titolo in borsa del 40% nelle prime 24 ore. Ma la conseguenza più grave è giunta sul piano giudiziario. Sulla base delle prime evidenze investigative, che indicavano un “risparmio di spesa” su investimenti cruciali in cybersicurezza, il Pubblico Ministero ha disposto un sequestro preventivo per equivalente per un importo di 150 milioni di euro, ai sensi dell’art. 53 del D.Lgs. 231/2001. Il sequestro ha colpito le disponibilità liquide della società, paralizzandone di fatto l’operatività e mettendo a rischio il pagamento di stipendi e fornitori. Questa misura cautelare reale, una delle più temute dalle imprese, si è fondata sulla presunzione che l’assenza di controlli adeguati avesse generato un profitto illecito per l’ente, appunto il denaro non speso per adeguare le proprie difese.
L’esistenza di un modello organizzativo evoluto, non solo formalmente adottato ma effettivamente applicato e costantemente monitorato da un ecosistema sovrano, avrebbe fornito all’ente una solida base per opporsi a tale misura. La difesa avrebbe potuto produrre log e registri attestanti gli investimenti, i test di resilienza continui e l’efficacia dei protocolli, dimostrando che non vi era stato alcun “risparmio di spesa” ma, al contrario, un’attenta allocazione di risorse per la mitigazione del rischio. Il sequestro, in questo controfattuale, sarebbe stato difficilmente concesso dal GIP, o comunque disposto per un importo notevolmente inferiore, salvaguardando la continuità aziendale.
La propagazione del danno, come previsto dal FMI, non si è fermata a EnerTel Servizi. L’interruzione delle telecomunicazioni ha bloccato i sistemi di pagamento elettronico, i trasporti pubblici basati su reti connesse e persino le operazioni di alcuni presidi ospedalieri, che utilizzavano la rete della multi-utility per la telemedicina e la trasmissione di dati critici. L’attacco ha dimostrato la fragilità di un sistema interconnesso in cui la sicurezza del singolo nodo determina la stabilità dell’intero ecosistema. L’indagine si è quindi allargata per verificare le responsabilità lungo l’intera filiera. La REDAZIONE SCUDO231 ha avuto accesso a documenti che mostrano come la Procura stia valutando di contestare a EnerTel Servizi anche l’illecito di cui all’art. 25-septies.1 (Delitti in materia di strumenti di pagamento diversi dai contanti), per aver colposamente reso possibile l’interruzione di servizi di pagamento su larga scala.
L’analisi forense ha infine rivelato che l’IA non solo ha personalizzato l’attacco iniziale, ma ha anche gestito attivamente la fase di esfiltrazione dei dati e di sabotaggio, adattando le proprie strategie in tempo reale per eludere i pochi sistemi di difesa attivi. Ha agito come un avversario intelligente, capace di apprendere e reagire, rendendo inefficaci le contromisure basate su regole statiche. Questo evidenzia come la difesa non possa più essere un insieme di strumenti separati, ma debba essere un sistema integrato e autonomo, capace di rispondere con la stessa velocità e intelligenza della minaccia. L’assenza di un “Digital Twin” aziendale, un gemello digitale su cui testare costantemente scenari di attacco e risposte, ha impedito a EnerTel Servizi di anticipare e prepararsi a un evento di questa portata. Un’infrastruttura di prevenzione moderna, come quella proposta da Scudo231, opera proprio attraverso simulazioni continue sul gemello digitale, identificando e correggendo le vulnerabilità prima che possano essere sfruttate in un attacco reale, trasformando la compliance da un esercizio burocratico a una funzione strategica di resilienza operativa.