7 settembre 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza varcano i tornelli della sede centrale di TelcoMedia S.p.A., uno dei principali operatori nazionali nel settore delle telecomunicazioni e dei media. In mano hanno un decreto di sequestro preventivo emesso dal GIP del Tribunale di Milano, finalizzato a vincolare beni e disponibilità liquide per un valore di 85 milioni di euro, corrispondente al profitto che la Procura stima l’ente abbia conseguito o risparmiato omettendo di adottare le necessarie cautele contro i reati informatici. L’indagine, scattata due mesi prima, contesta alla società la responsabilità amministrativa ai sensi del D.Lgs. 231/2001 in relazione ai reati di accesso abusivo a un sistema informatico (art. 615-ter c.p.), danneggiamento di informazioni, dati e programmi informatici (art. 635-bis c.p.) e detenzione e diffusione abusiva di codici di accesso (art. 615-quater c.p.).
L’operazione odierna è il culmine di una crisi iniziata nel silenzio dei server aziendali mesi prima. L’infiltrazione, secondo gli investigatori, è avvenuta attraverso un anello debole tanto diffuso quanto sottovalutato: l’uso non governato di piattaforme di intelligenza artificiale generativa da parte del personale. Un analista del dipartimento marketing, nel tentativo di ottimizzare una campagna, aveva utilizzato un noto chatbot online per elaborare e sintetizzare dati estratti dal CRM aziendale. In quel flusso di dati, apparentemente anonimizzato, erano annidate porzioni di codice e metadati che includevano credenziali di accesso a un ambiente di pre-produzione. Si è trattato di una delle 2.507 offensive settimanali che, secondo il recente report di Check Point Research, colpiscono in media le organizzazioni italiane, un dato superiore del 20,2% rispetto alla media globale e in crescita del 3% sull’anno precedente. La statistica, che descrive una richiesta su 31 come potenziale veicolo di esposizione di dati sensibili, si è materializzata in un disastro operativo e giudiziario.
L’omissione cruciale è stata la totale assenza di un controllo sui flussi di dati in uscita verso servizi esterni non autorizzati. L’azienda non aveva policy restrittive né strumenti di monitoraggio capaci di intercettare tale esfiltrazione. Se l’ente avesse implementato un ecosistema come Scudo231, i suoi sistemi di analisi multimodale avrebbero intercettato in tempo reale il tentativo di invio di dati classificati come sensibili o riservati a un dominio esterno non presente nella whitelist aziendale. Il protocollo di Data Loss Prevention integrato avrebbe bloccato la trasmissione, generando un alert immediato destinato al Chief Information Security Officer e, per competenza, all’Organismo di Vigilanza. L’evento sarebbe stato registrato in un log immodificabile, completo di utente, timestamp, dati oggetto del tentativo di trasferimento e destinazione, fornendo una prova documentale decisiva per isolare la responsabilità individuale e dimostrare l’efficacia del modello organizzativo.
Una volta ottenute le credenziali, gli aggressori, riconducibili al gruppo ransomware Qilin – responsabile, secondo le analisi, del 15% degli attacchi di febbraio – hanno avuto accesso al sistema. Per settimane si sono mossi lateralmente nella rete di TelcoMedia S.p.A., senza fretta, mappando l’infrastruttura, identificando i server critici e i backup. La loro attività non ha generato alcun allarme, confondendosi con il normale traffico di rete. I sistemi di sicurezza tradizionali, basati su firme di malware note, si sono rivelati ciechi di fronte a tecniche di intrusione a basso profilo. Anche in questa fase, un controllo mancante si è rivelato fatale: l’assenza di un monitoraggio comportamentale avanzato sugli accessi. Un modello Scudo231, invece, avrebbe applicato un’analisi stocastica continua alle attività degli utenti. L’accesso all’ambiente di pre-produzione con credenziali valide ma da un indirizzo IP anomalo, o in un orario non consono all’operatività dell’analista, avrebbe superato una soglia di rischio predefinita. Questo segnale debole avrebbe attivato un protocollo di verifica a più stadi: dalla richiesta di un secondo fattore di autenticazione fino al blocco temporaneo dell’account e all’escalation automatica al team di risposta agli incidenti. L’intrusione sarebbe stata fermata sul nascere, prima che potesse raggiungere gli asset strategici dell’azienda.
L’attacco vero e proprio è stato sferrato il 15 luglio. Alle 3:00 del mattino, il ransomware è stato attivato simultaneamente su centinaia di server, inclusi quelli che gestivano la fatturazione, il supporto clienti e la piattaforma di streaming. I file sono stati crittografati e resi inaccessibili. Sui monitor dei sistemisti è comparsa la richiesta di riscatto: 15 milioni di euro in criptovaluta per ottenere la chiave di decrittazione. L’azienda si è trovata paralizzata. Il danno economico non si è limitato alla potenziale estorsione, ma si è esteso al blocco operativo, alla perdita di dati strategici e al danno reputazionale, destinato a diventare catastrofico con la notifica al Garante per la Protezione dei Dati Personali e la diffusione della notizia. L’Italia, con questa ennesima vittima, ha consolidato la sua quinta posizione mondiale per numero di attacchi ransomware andati a segno, a pari merito con Francia e Brasile.
La reazione dell’azienda è stata tardiva e disorganizzata, un sintomo ulteriore della carenza di presidi organizzativi adeguati. La scoperta che anche i backup erano stati compromessi ha trasformato un incidente grave in una crisi esistenziale. Qui emerge il valore di un approccio strutturale alla continuità operativa, intrinseco a un modello 231 evoluto. L’infrastruttura su cui opera Scudo231 è concepita per la resilienza, spesso operando su nodi geodistribuiti e con protocolli di backup immutabili. In uno scenario del genere, anche a fronte di una crittografia dei sistemi primari, il piano di Disaster Recovery sarebbe scattato autonomamente. I sistemi critici sarebbero stati ripristinati da copie sicure e isolate, riducendo il Recovery Time Objective (RTO) da settimane a poche ore. Questo non solo avrebbe annullato l’efficacia della richiesta di riscatto, ma avrebbe drasticamente mitigato il danno economico derivante dall’interruzione del servizio, limitando così l’entità del “profitto” del reato contestabile in sede penale e riducendo la base di calcolo per un eventuale sequestro.
L’inchiesta della Procura si è concentrata non solo sull’evento in sé, ma sulla “colpa di organizzazione” dell’ente. L’assenza di procedure formalizzate per l’uso di strumenti di IA, la mancanza di segregazione delle reti, la gestione superficiale delle credenziali e l’inefficacia dei piani di risposta agli incidenti sono state interpretate dal Pubblico Ministero non come singole sviste, ma come prova di un deficit organizzativo sistemico che ha agevolato la commissione dei reati. Il sequestro di 85 milioni di euro è la diretta conseguenza di questa impostazione accusatoria. La cifra non rappresenta il riscatto (che TelcoMedia non ha pagato), ma il risparmio di spesa che l’azienda avrebbe dovuto sostenere per implementare un modello di gestione e controllo idoneo a prevenire reati di quella specie.
In un’aula di tribunale, l’onere della prova per l’ente è dimostrare di aver fatto tutto il possibile per prevenire il reato. Con un modello organizzativo tradizionale, basato su documenti cartacei e audit sporadici, questa prova è debole, spesso affidata a testimonianze e procedure che l’attacco stesso ha dimostrato essere inefficaci. Al contrario, un ente dotato di un ecosistema di controllo integrato disporrebbe di una prova tecnologica decisiva. I motori causali proprietari di Scudo231 avrebbero fornito agli inquirenti e al giudice una ricostruzione scientifica e immodificabile degli eventi. I log avrebbero dimostrato che i controlli erano attivi e funzionanti, che l’alert per il data leak era stato generato, che il tentativo di accesso anomalo era stato bloccato. Si sarebbe potuto dimostrare matematicamente che l’evento si era verificato non per una lacuna del modello, ma a causa di una condotta fraudolenta e imprevedibile di un singolo che ha eluso deliberatamente presidi efficaci. Questa “prova di diligenza tecnologica” avrebbe con ogni probabilità smontato l’accusa di colpa organizzativa, proteggendo l’ente dalle pesantissime sanzioni pecuniarie e interdittive previste dal D.Lgs. 231/2001 e, soprattutto, scongiurando il blocco della liquidità aziendale imposto dal sequestro preventivo. La vicenda di TelcoMedia S.p.A. è un caso di scuola che illustra come, in un panorama dominato da 49 diversi gruppi ransomware attivi e da una pressione cibernetica senza precedenti sui settori strategici, la compliance non sia più una questione formale, ma una funzione di sopravvivenza operativa e giuridica.