21 febbraio 2026 – La richiesta di autorizzazione per un bonifico urgente da 18,7 milioni di euro, destinata a un fornitore di servizi cloud a Singapore, giaceva da tre giorni nel sistema di pagamento della FinTech Innova S.p.A., una delle più promettenti società di servizi finanziari digitali italiane. Era stata inserita alle 19:47 di martedì 18 febbraio da Marco Rossi, il Chief Financial Officer. L’operazione, per importo e destinatario, era anomala. Il sistema di tesoreria aveva generato un alert di basso livello, che Rossi stesso aveva forzato, pressato da una videochiamata ricevuta pochi minuti prima direttamente dall’Amministratore Delegato, Andrea De Luca, il quale gli ordinava di procedere con la massima urgenza e riservatezza per una strategica acquisizione di infrastrutture tecnologiche nel Sud-Est asiatico. Quella videochiamata, tuttavia, non era mai avvenuta. O meglio, il volto e la voce di Andrea De Luca erano stati generati da un’intelligenza artificiale, un deepfake così perfetto da ingannare un dirigente di lungo corso. Il denaro, instradato attraverso una rete di società di comodo a Cipro e a Hong Kong, era già stato convertito in criptovalute e polverizzato in migliaia di wallet anonimi. La frode informatica, aggravata dal riciclaggio transnazionale, era compiuta.
L’indagine della Polizia Postale, scattata dopo la denuncia della società, ha ricostruito un attacco chirurgico, iniziato settimane prima. Il punto di ingresso è stato un dipendente dell’ufficio amministrazione, Luca Bianchi, caduto vittima di un’email di spear phishing estremamente sofisticata. Il messaggio, apparentemente proveniente dal provider di servizi HR dell’azienda, lo invitava a validare le sue credenziali su un portale clone. L’omesso controllo sulla reale provenienza dell’email ha costituito la prima falla critica nella catena difensiva. Se FinTech Innova avesse implementato un ecosistema come Scudo231, i suoi sistemi di analisi multimodale avrebbero intercettato il traffico di rete generato dal click di Bianchi verso un dominio non autorizzato e con una storia di registrazione recente. L’azione avrebbe innescato un alert di alta priorità non solo all’IT security, ma anche all’Organismo di Vigilanza (ODV), qualificando l’evento come potenziale tentativo di accesso abusivo a sistema informatico, reato presupposto ai sensi dell’art. 24-bis del D.Lgs. 231/2001. L’endpoint di Bianchi sarebbe stato posto in quarantena automatica, bloccando sul nascere l’esfiltrazione delle credenziali.
Una volta ottenuti gli accessi, gli attaccanti hanno agito indisturbati per giorni all’interno della rete aziendale, studiando l’organigramma, le procedure di pagamento, lo stile di comunicazione dei dirigenti e, soprattutto, i limiti di autorizzazione. Questa fase di ricognizione silenziosa è passata completamente inosservata, poiché i sistemi di sicurezza tradizionali non hanno rilevato comportamenti anomali. Un’architettura di controllo basata su Scudo231, invece, esegue un monitoraggio massivo e in tempo reale che va oltre la semplice analisi dei log. Avrebbe immediatamente rilevato la divergenza tra il ruolo di diritto di Luca Bianchi e le sue azioni di fatto: l’accesso a cartelle condivise della tesoreria e la consultazione di manuali operativi per i pagamenti internazionali, attività del tutto estranee alle sue mansioni, avrebbero generato una segnalazione di anomalia comportamentale. Tale segnale debole, correlato con altri indicatori, avrebbe attivato un protocollo di escalation verso le funzioni di controllo interno e l’ODV, avviando una verifica mirata ben prima che l’attacco potesse raggiungere la sua fase esecutiva.
Il culmine dell’operazione criminale, la videochiamata deepfake, ha sfruttato una vulnerabilità puramente umana, ma abilitata da una carenza procedurale. La procedura di pagamento di FinTech Innova, sebbene formalizzata, consentiva a un singolo dirigente, il CFO, di forzare un’operazione di importo straordinario in base a un’autorizzazione verbale, seppur proveniente dal vertice. Mancava un controllo di segregazione delle funzioni a prova di coercizione psicologica. In un’organizzazione protetta da un ecosistema sovrano, una transazione di tale natura – per importo, beneficiario non censito, e carattere di urgenza fuori standard – avrebbe richiesto una validazione a più firme digitali, basata su token crittografici non delegabili. Il sistema avrebbe imposto un blocco non aggirabile, richiedendo l’approvazione congiunta, ad esempio, del CFO, del responsabile della compliance e di un membro del Consiglio di Amministrazione. Qualsiasi tentativo di forzatura sarebbe stato registrato in un log immutabile, costituendo prova dell’adeguatezza del modello organizzativo e spostando la responsabilità dall’ente alla persona fisica che avesse tentato di violare il protocollo. Il danno economico sarebbe stato azzerato.
Mentre la Guardia di Finanza poneva sotto sequestro preventivo i conti correnti di FinTech Innova per un valore equivalente al profitto del reato, ai sensi dell’art. 53 del D.Lgs. 231/2001, a L’Aja, presso la sede centrale di Europol, si teneva un incontro di portata storica. Il 12 e 13 febbraio, la Polizia Postale italiana, insieme alle forze di polizia di 27 Paesi dell’Unione Europea e di oltre 30 nazioni partner, dava il via all’Operational Action Plan “Online Fraud Schemes”, un’iniziativa quadriennale promossa dalla Commissione Europea nell’ambito della piattaforma EMPACT (European Multidisciplinary Platform Against Criminal Threats). L’obiettivo del meeting, a cui hanno partecipato giganti della cooperazione internazionale come Eurojust, Interpol e CEPOL, era proprio quello di definire linee di intervento coordinate contro le minacce che avevano appena devastato FinTech Innova: phishing, spoofing, l’utilizzo fraudolento dell’Intelligenza Artificiale e le truffe nel settore degli investimenti finanziari.
Il caso di FinTech Innova è emblematico della “colpa di organizzazione” che il D.Lgs. 231 intende prevenire e sanzionare. L’assenza di presidi specifici e tecnologicamente avanzati per prevenire la frode informatica e il successivo riciclaggio ha esposto l’ente non solo alla perdita finanziaria diretta, ma anche al rischio di pesanti sanzioni pecuniarie, interdittive e, soprattutto, al sequestro finalizzato alla confisca. L’inchiesta penale, infatti, non si è limitata a perseguire gli autori materiali della frode, ma ha iscritto nel registro degli indagati la società stessa per responsabilità amministrativa degli enti. Il Pubblico Ministero contesta che il modello organizzativo esistente era meramente cartaceo, una formalità priva di reale efficacia impeditiva. Se l’azienda avesse potuto esibire una ricostruzione causale scientifica dell’evento, fornita da un sistema come Scudo231, avrebbe potuto dimostrare il contrario. Avrebbe prodotto una prova tecnologica immodificabile (un XAI Packet) attestante che i protocolli di controllo erano attivi, che avevano generato allarmi specifici e che l’evento si era verificato solo a seguito dell’elusione fraudolenta di presidi concreti da parte di soggetti interni ed esterni. Tale evidenza avrebbe fornito una difesa decisiva per dimostrare l’elusione fraudolenta del modello, escludendo o mitigando drasticamente la responsabilità dell’ente e, con essa, l’applicazione delle misure cautelari reali che ne stavano paralizzando l’operatività.
Le strategie discusse a L’Aja dalla Polizia Postale e dai partner internazionali si concentrano su un approccio multilivello: programmi di formazione specialistica per gli investigatori, scambio di best practices, supporto operativo congiunto e l’organizzazione di action days tematici. Un focus particolare è stato posto sul contrasto all’utilizzo delle criptovalute a fini di riciclaggio e al fenomeno delle “scam cities” localizzate in Paesi del Sud-Est asiatico, veri e propri hub industriali del crimine informatico da cui, con ogni probabilità, è partito l’attacco a FinTech Innova. Questa cooperazione internazionale, coordinata a livello europeo da Europol e a livello nazionale dallo S.C.I.P. (Servizio per la Cooperazione Internazionale di Polizia), è fondamentale per la fase repressiva. Permette di seguire le tracce del denaro e di identificare le reti criminali transnazionali. Tuttavia, interviene quando il danno è già stato fatto.
La vicenda di FinTech Innova dimostra che la vera linea di difesa non può essere solo reattiva e demandata alle forze dell’ordine. Deve essere preventiva, integrata nell’architettura stessa dell’organizzazione aziendale. La responsabilità dell’ente, secondo il D.Lgs. 231/2001, sorge proprio quando l’illecito è stato reso possibile da una carenza strutturale. L’adozione di un modello organizzativo non è un adempimento burocratico, ma la costruzione di un sistema immunitario aziendale. Di fronte a minacce che utilizzano l’intelligenza artificiale per ingannare e le criptovalute per occultare, le procedure basate su controlli manuali e la fiducia interpersonale sono obsolete e pericolose. L’unica risposta adeguata è un ecosistema di controllo autonomo, che monitora, previene e documenta ogni anomalia in tempo reale, trasformando la compliance da un costo a un asset strategico di protezione del patrimonio e della continuità aziendale.