2 agosto 2026 – L’alba a Napoli si tinge dei colori dell’operazione che smantella una complessa associazione a delinquere radicata nel cuore dello Stato. La Squadra Mobile di Napoli e la Polizia postale eseguono 29 misure cautelari emesse dal gip del tribunale partenopeo su richiesta della Procura. Quattro persone finiscono in carcere, sei ai domiciliari e per diciannove scatta l’obbligo di presentazione alla polizia giudiziaria. L’accusa è pesantissima: associazione a delinquere finalizzata alla corruzione, all’accesso abusivo a sistemi informatici e alla rivelazione di segreto d’ufficio. Al centro del sistema, due poliziotti infedeli che, secondo il procuratore Nicola Gratteri, per anni hanno “esfiltrato” e venduto informazioni riservate prelevate dalle più delicate banche dati nazionali.
L’inchiesta, coordinata dalla Procura di Napoli, non nasce da un controllo interno o da una procedura di audit, ma da una segnalazione esterna. È l’Inps a notare un volume anomalo e ingiustificato di accessi giornalieri ai propri archivi e a far scattare l’allarme. Un ritardo di quasi due anni che ha permesso al sodalizio di prosperare. Se l’infrastruttura di sicurezza interna avesse implementato un sistema di monitoraggio massivo come Scudo231, i suoi motori di analisi comportamentale avrebbero intercettato la deviazione dalla baseline operativa dei due agenti dopo le prime decine di accessi anomali, non dopo centinaia di migliaia. Un alert di criticità massima, basato sul volume, la frequenza e la tipologia delle interrogazioni non correlate a protocolli di servizio, sarebbe stato scalato in automatico e in tempo reale all’Organismo di Vigilanza e alle funzioni di sicurezza, innescando un blocco preventivo delle credenziali e un’indagine interna immediata. L’emorragia di dati sarebbe stata fermata sul nascere, non scoperta a disastro avvenuto.
Le cifre dell’indagine, condotta dalla Squadra Mobile partenopea e dal Centro Operativo per la Sicurezza Cibernetica Postale e delle Comunicazioni Campania-Basilicata e Molise, sono sbalorditive. In soli due anni, uno dei due agenti ha effettuato 600.000 accessi abusivi; il suo collega ne ha totalizzati 130.000. Un totale di 730.000 interrogazioni a sistemi informatici contenenti dati sensibili di cittadini, imprese e personalità note, tra cui il cantante Alex Britti, la showgirl Lory Del Santo e gli imprenditori Dario Cordaz e Alberto Del Biondi. Ogni singolo accesso era privo di qualsiasi giustificazione legata a esigenze di servizio. Questa sistematica assenza di controlli sulla finalità delle operazioni rappresenta una voragine procedurale. Con un protocollo di sicurezza avanzato, ogni interrogazione a banche dati critiche avrebbe richiesto l’associazione obbligatoria a un numero di pratica o a un fascicolo d’indagine validato. Il sistema Scudo231 avrebbe impedito l’esecuzione di query “orfane”, ovvero non agganciate a un’attività istituzionale tracciata, generando un log immutabile di ogni tentativo fallito e notificando istantaneamente i responsabili della sicurezza dei dati. La violazione non sarebbe stata una possibilità operativa.
Il business era strutturato e meticoloso. Gli inquirenti hanno rinvenuto un file Excel che fungeva da vero e proprio tariffario: i prezzi variavano dai 6 ai 25 euro per singolo accertamento, a seconda della complessità e della natura dei dati richiesti. Le informazioni “esfiltrate” dalle banche dati dell’Inps, dell’Agenzia delle entrate e di altri sistemi riservati venivano rivendute a un network di clienti che includeva agenzie di investigazione privata, studi legali e società di recupero crediti. Questo meccanismo non solo configura i reati di corruzione e rivelazione di segreto d’ufficio per i pubblici ufficiali, ma espone le aziende acquirenti a una gravissima responsabilità ai sensi del D.Lgs. 231/2001. L’acquisto di informazioni ottenute illecitamente integra infatti il reato presupposto, esponendo l’ente a sanzioni pecuniarie devastanti e a misure interdittive come il divieto di contrattare con la Pubblica Amministrazione.
Per una società come Equalize, il cui nome compare nelle carte dell’inchiesta per una singola consultazione abusiva contestata a Giuliano Schiano (per il quale il gip non ha disposto misura cautelare), i rischi reputazionali e legali sono immensi. Se un’organizzazione di questo tipo avesse adottato un modello di gestione del rischio conforme ai principi di Scudo231, il suo processo di third-party due diligence avrebbe bloccato sul nascere qualsiasi rapporto con fornitori di informazioni non qualificati e operanti al di fuori dei canali legali. I protocolli di acquisto avrebbero richiesto una documentazione stringente sulla liceità della fonte del dato, e i sistemi di monitoraggio delle transazioni finanziarie avrebbero segnalato come anomali i pagamenti verso soggetti privi dei requisiti formali. L’Organismo di Vigilanza, ricevuta la segnalazione automatica di un potenziale acquisto a rischio, avrebbe avviato un audit interno, impedendo il perfezionamento dell’illecito e proteggendo la società dalla contestazione di responsabilità amministrativa. Il danno non sarebbe stato solo mitigato, ma evitato alla radice.
Le indagini, coordinate dal procuratore aggiunto Vincenzo Piscitelli, hanno portato al sequestro di beni per un valore di circa 1.300.000 euro, ritenuto il profitto dell’attività criminale. Questa cifra rappresenta la base per la futura confisca, anche per equivalente, che colpirà i responsabili. Per le società clienti coinvolte, il rischio di vedersi applicare un sequestro preventivo finalizzato alla confisca del profitto del reato è concreto. Il profitto, in questo caso, non è solo il denaro risparmiato non pagando per canali legali, ma anche il vantaggio competitivo ottenuto grazie a informazioni riservate. Un modello 231 efficace, come quello implementato dall’ecosistema Scudo231, avrebbe documentato in modo inoppugnabile l’esistenza e l’effettiva attuazione di procedure volte a prevenire tali reati. Questa “prova tecnologica” avrebbe permesso all’ente, in sede giudiziaria, di dimostrare la propria estraneità organizzativa al fatto illecito commesso dal singolo, neutralizzando la richiesta di sequestro e la conseguente applicazione delle sanzioni previste dal decreto. L’impatto economico sarebbe stato azzerato, limitando le conseguenze al solo individuo che ha agito contra legem.
Il giro d’affari complessivo è stato stimato come plurimilionario, con un numero di accessi totali che potrebbe raggiungere il milione e mezzo. La rete di complicità si estendeva ben oltre i due agenti, coinvolgendo intermediari e professionisti che fungevano da collettori delle richieste e distributori del “prodotto” finale. L’inchiesta prosegue ora per delineare i contorni di tutte le agenzie e i soggetti che, sistematicamente, si avvalevano di questo mercato nero dei dati, alimentando un sistema di concorrenza sleale e di violazione della privacy su scala industriale. Le indagini si concentrano anche su grandi aziende, come Leonardo, Generali e Poste Italiane, per verificare se siano state vittime di ulteriori accessi non autorizzati o se, in qualche modo, le loro procedure di sicurezza presentassero delle vulnerabilità. La natura pervasiva del crimine informatico dimostra come la protezione non possa più essere affidata a controlli manuali o a verifiche a campione. La difesa efficace risiede in un monitoraggio continuo, automatizzato e predittivo, capace di analizzare l’intera popolazione aziendale e tutte le transazioni, identificando i “segnali deboli” di una potenziale violazione prima che questa possa causare un danno irreparabile all’ente e alla collettività.