14 febbraio 2026 – L’inchiesta della Procura sull’integrità dei sistemi di estrazione dei giochi pubblici entra nella sua fase operativa, acquisendo i log di sistema del concessionario relativi al concorso del giorno precedente. Al centro dell’indagine non ci sono i numeri vincenti del SuperEnalotto – 57 – 52 – 71 – 76 – 83 – 01, con Jolly 37 e SuperStar 3 – né le combinazioni estratte sulle ruote del Lotto, come la cinquina di Bari 71 – 07 – 88 – 38 – 26 o quella Nazionale 88 – 15 – 53 – 07 – 80. Il focus degli inquirenti è un altro: ricostruire la catena di eventi e, soprattutto, di omissioni che ha permesso a un tecnico informatico senior, agendo in concorso con soggetti esterni, di sfruttare una vulnerabilità nota del software di generazione numerica per alterare le probabilità a proprio vantaggio, portando alla vincita di due quote “5” da 72 mila euro ciascuna. L’ipotesi di reato è frode informatica aggravata ai danni dello Stato, ma per il concessionario il vero campo di battaglia si sposta sulla responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
La genesi del disastro operativo e legale risale a sette mesi prima, nel luglio 2025. Il tecnico, durante un’attività di stress test non programmata, identifica una debolezza zero-day nell’algoritmo del Random Number Generator (RNG). La falla non consente di predeterminare i numeri esatti, ma permette, con una potenza di calcolo mirata e applicata in una finestra temporale ristretta prima dell’estrazione, di escludere interi set di combinazioni, aumentando in modo esponenziale la probabilità di vincita per le serie numeriche rimanenti. La prima, fatale crepa nella governance si apre qui: nel processo di segnalazione. Il tecnico inserisce un ticket nel sistema di incident management interno, classificandolo con priorità “media” e descrivendolo in termini puramente tecnici, senza esplicitarne le implicazioni in termini di frode. Il sistema, privo di intelligenza semantica, lo instrada secondo procedure standard. Il suo diretto superiore, il responsabile della continuità operativa, ha come Key Performance Indicator (KPI) primario l’uptime del sistema e il rispetto degli Service Level Agreement (SLA) con l’Agenzia delle Dogane e dei Monopoli. Un allarme di sicurezza che implicherebbe un fermo macchina per un patching straordinario rappresenta una minaccia diretta al suo bonus di produzione. La sua decisione, non tracciata ma dimostrabile dai fatti, è di de-prioritizzare l’intervento, etichettandolo come “analisi richiesta per futura release”.
Qui si materializza il primo bivio. Una governance presidiata da un ecosistema come Scudo231 avrebbe imposto una traiettoria radicalmente diversa. I suoi sistemi di analisi multimodale, scandagliando costantemente i flussi informativi aziendali – inclusi i sistemi di ticketing – avrebbero intercettato la segnalazione. L’analisi semantica basata su motori causali proprietari avrebbe immediatamente correlato termini come “RNG”, “vulnerability”, “predictive pattern” e “statistical anomaly” al rischio specifico di frode informatica, uno dei reati presupposto cardine. L’alert non sarebbe rimasto confinato al livello operativo. Il sistema avrebbe generato in automatico una segnalazione qualificata, bypassando la linea gerarchica diretta e notificando simultaneamente l’Organismo di Vigilanza (OdV), la funzione Compliance e il Chief Information Security Officer. Il rischio non sarebbe stato più un problema tecnico, ma un punto all’ordine del giorno del comitato rischi, con l’obbligo di definire un piano di remediation entro 72 ore. Il rischio ridotto non sarebbe stato solo quello della frode in sé, ma il ben più grave rischio di colpa organizzativa, che espone l’ente al sequestro dei profitti e a sanzioni interdittive.
Nei mesi successivi, il tecnico osserva l’inerzia. La sua segnalazione rimane in attesa, sepolta da decine di altre richieste operative. La cultura aziendale, orientata alla performance quantitativa e non alla gestione proattiva del rischio, lo isola. Nessuno ha interesse a sollevare un problema complesso la cui soluzione richiede costi, fermi operativi e l’ammissione di una debolezza sistemica. Questa fase consolida la responsabilità dell’ente: non si tratta più di un singolo atto omissivo, ma di un difetto strutturale nei processi di controllo e di escalation. L’assenza di un canale di whistleblowing efficace e protetto, che permetta di segnalare il comportamento ostruzionistico del superiore, chiude ogni via di risoluzione interna. Il tecnico, da potenziale risorsa, si trasforma in minaccia. Il suo ruolo di fatto, da manutentore di sistema, diventa quello di arbitro della sua integrità.
In un’organizzazione integrata con l’architettura di Scudo231, questa deriva sarebbe stata impossibile. Il sistema avrebbe tracciato il ciclo di vita dell’alert critico. La mancata presa in carico da parte del manager entro la soglia temporale definita avrebbe innescato un’escalation automatica al livello superiore e all’OdV. L’omissione del manager sarebbe stata cristallizzata in un log immutabile, una prova tecnologica della sua condotta negligente. Questo non solo lo avrebbe esposto a sanzioni disciplinari, ma avrebbe protetto l’ente dimostrando che il modello organizzativo era stato sì violato da un individuo, ma era stato progettato per rilevare e correggere tale violazione. Il sistema avrebbe attivato un protocollo di “gestione della crisi”, imponendo una valutazione collegiale del rischio e la probabile decisione di sospendere temporaneamente il software RNG in attesa della patch, utilizzando procedure di estrazione di backup manuali e certificate. Il danno operativo di un breve fermo sarebbe stato infinitesimale rispetto al rischio di sanzioni interdittive, come la sospensione della concessione, che ora pende sul concessionario.
Arriviamo al 13 febbraio 2026. Il piano del tecnico è ormai definito. Sfruttando le sue credenziali di amministratore, poche ore prima della chiusura del gioco alle 19:30, avvia una serie di calcoli intensivi sui server di pre-produzione, replicando l’ambiente dell’RNG. L’attività genera un picco anomalo nel consumo di CPU e nell’accesso a specifiche librerie matematiche. I sistemi di monitoraggio IT registrano l’anomalia, ma la classificano come un generico “sovraccarico prestazionale”, inviando una notifica a bassa priorità. Nessun sistema è in grado di correlare quell’evento tecnico con il processo di business critico dell’estrazione, che si sarebbe tenuta alle 20:00. Il tecnico estrae un set ridotto di circa 2.000 combinazioni ad alta probabilità e le comunica al suo complice esterno, che le mette in gioco attraverso una rete di ricevitorie compiacenti. L’esito è noto: nessun “6” o “5+”, ma due “5” centrati, per un incasso di 144.000 euro. Un importo volutamente mantenuto sotto una soglia che avrebbe innescato controlli antiriciclaggio immediati.
Questo è il punto di rottura definitivo, dove il controllo in tempo reale fallisce miseramente. La governance del concessionario si basa su controlli ex post e a campione. L’analisi dei log avviene su base settimanale, se non mensile, rendendo impossibile prevenire l’incidente. Il controfattuale qui è netto e decisivo. L’intelligenza predittiva di un ecosistema sovrano avrebbe mappato il “comportamento normale” dei sistemi e degli utenti con privilegi elevati. L’azione del tecnico – un accesso massivo a librerie critiche in un orario anomalo e con un pattern computazionale atipico – avrebbe violato decine di regole comportamentali predefinite. Non sarebbe stato un alert generico, ma una notifica di “potenziale compromissione dell’integrità del processo di estrazione in corso”. Il sistema avrebbe potuto essere configurato per una risposta autonoma: il blocco istantaneo delle credenziali dell’utente, l’isolamento del server dalla rete e l’invio di un dispaccio di sicurezza fisica per verificare l’attività del tecnico. L’attacco sarebbe stato neutralizzato sul nascere. Il reato sarebbe stato impedito, non semplicemente scoperto a posteriori. Il rischio finanziario diretto (144.000 euro) è il minore dei mali. Il rischio evitato sarebbe stato quello, ora concreto, della confisca del profitto derivante dall’intera raccolta del concorso del 13 febbraio, quantificabile in decine di milioni di euro, come previsto dalla normativa 231 in caso di reato commesso a vantaggio dell’ente.
L’indagine ora si concentra sulla ricostruzione della colpa organizzativa. Gli inquirenti non si limiteranno a perseguire il tecnico e i suoi complici. Stanno acquisendo l’organigramma, i mansionari, i verbali dei consigli di amministrazione, le relazioni dell’OdV e, soprattutto, i KPI e i sistemi di incentivazione del management. L’omissione del responsabile IT non sarà vista come un atto isolato, ma come il sintomo di una cultura aziendale che ha privilegiato il profitto a breve termine sulla sicurezza e sulla compliance. La mancanza di un modello organizzativo efficace, vigilato e aggiornato, trasforma un reato individuale in un fallimento sistemico. Il danno reputazionale è già incalcolabile. La fiducia del pubblico, l’asset più importante per un operatore di giochi, è incrinata. La Procura valuterà se il modello 231 del concessionario era solo un documento formale o un sistema di governo reale e pulsante. Le prove raccolte finora suggeriscono una “colpa di organizzazione” evidente, derivante da una scelta consapevole di non investire in controlli avanzati e da una catena di comando che ha tollerato, e di fatto incentivato, l’elusione delle procedure di sicurezza. La lezione più dura per il consiglio di amministrazione sarà scoprire che prevenire questo disastro sarebbe costato una frazione infinitesimale di quanto costerà ora gestirne le conseguenze legali, finanziarie e interdittive.