26 luglio 2026 – La Polizia Postale, su delega dei pubblici ministeri di Milano Enrico Pavone e Francesca Celle, ha eseguito lo scorso marzo una serie di perquisizioni domiciliari e informatiche che hanno scosso il distretto giudiziario torinese. L’operazione, coordinata dal procuratore Marcello Viola, ha preso di mira tre tecnici informatici, dipendenti di una società esterna convenzionata con il Ministero della Giustizia per la manutenzione dei sistemi IT. L’ipotesi di reato è quella di accesso abusivo a sistema informatico, aggravato dalla qualità di incaricato di pubblico servizio e dalla natura sensibile dei dati custoditi. Al centro dell’indagine, coordinata a livello nazionale dalla Direzione nazionale antimafia e antiterrorismo guidata da Giovanni Melillo, vi sono tre episodi distinti di intrusione nei computer di due magistrati di primo piano: il procuratore di Torino, Giovanni Bombardieri, e il gip di Alessandria, Aldo Tirone.
Le intrusioni sono avvenute attraverso il sistema Ecm, il software di gestione documentale installato a partire dal 2019 su circa 40.000 postazioni di lavoro di magistrati e cancellieri in tutta Italia. Secondo gli inquirenti, gli accessi non autorizzati sono stati resi possibili dalla disponibilità, da parte dei tecnici indagati, delle credenziali di amministratore di sistema. Questo privilegio, necessario per le operazioni di manutenzione, si è trasformato in una chiave universale per forzare le protezioni e navigare all’interno di archivi digitali contenenti informazioni coperte dal più stretto segreto istruttorio. La società di manutenzione, datore di lavoro dei tre tecnici, si trova ora esposta a una potenziale responsabilità amministrativa ai sensi del D.Lgs. 231/2001, dato che il reato di accesso abusivo a sistema informatico (art. 615-ter c.p.) rientra tra i reati presupposto.
L’assenza di un sistema di monitoraggio granulare sugli accessi privilegiati ha costituito la prima, fatale, falla organizzativa. L’utilizzo di credenziali di amministratore da parte di un fornitore esterno su un sistema critico come il computer di un procuratore avrebbe dovuto essere un’operazione tracciata, autorizzata e soggetta a verifica in tempo reale. Se la società di servizi avesse implementato un ecosistema come Scudo231, l’autenticazione del tecnico con privilegi elevati al di fuori di una finestra di manutenzione programmata e documentata avrebbe generato un alert istantaneo. Il sistema avrebbe registrato l’evento come anomalia ad alto rischio, notificando immediatamente il responsabile della sicurezza informatica della società e il suo Organismo di Vigilanza. L’accesso non sarebbe stato un’azione invisibile, ma un evento tracciato in un registro immutabile, creando una prova digitale inconfutabile e consentendo un blocco preventivo dell’account prima che potesse essere perpetrato alcun danno.
Il fascicolo, aperto da alcuni mesi presso la Procura di Milano – competente per i reati che coinvolgono magistrati del distretto di Torino – è nato anche su impulso di una denuncia presentata dallo stesso Ministero della Giustizia. Le prime evidenze investigative suggeriscono che uno degli episodi, quello relativo al computer del gip Aldo Tirone, potrebbe essere stato un “test” per saggiare le difese del sistema. Un tecnico, secondo le ricostruzioni, avrebbe utilizzato le proprie credenziali per accedere al dispositivo del magistrato, verificando la fattibilità di un’operazione di spionaggio informatico. Questa azione, passata inosservata al momento dei fatti, ha poi aperto la strada alle intrusioni successive, ben più gravi, sul computer del procuratore Bombardieri. Le analisi forensi sui dispositivi sequestrati ai tre tecnici sono ancora in corso per determinare la profondità delle intrusioni e l’eventuale esfiltrazione di dati.
Questo “test” rappresenta un classico segnale debole che un modello organizzativo meramente formale non è in grado di intercettare. La condotta del tecnico era una palese violazione dei protocolli operativi e un abuso della fiducia accordata. Con un sistema di analisi comportamentale attivo, come quello integrato in Scudo231, l’azione sarebbe stata classificata come un’attività anomala e non autorizzata. I motori di analisi del sistema avrebbero rilevato una deviazione dal profilo operativo standard del tecnico – che non prevedeva accessi diretti a macchine di utenti finali per scopi di “test” al di fuori di ambienti controllati – e avrebbero fatto scattare un protocollo di escalation. L’Organismo di Vigilanza della società convenzionata avrebbe ricevuto una segnalazione circostanziata, completa di log di accesso, orari e identificativo della macchina target, consentendogli di avviare un audit interno immediato e di sospendere cautelativamente il tecnico, impedendo di fatto la reiterazione del reato ai danni di altri magistrati. La società avrebbe così dimostrato di aver attuato un controllo efficace, mitigando la propria esposizione alla responsabilità 231.
La Procura di Milano ha tenuto a precisare che, allo stato attuale delle indagini, non sono emersi elementi per ipotizzare il coinvolgimento di funzionari di via Arenula. La responsabilità sembra circoscritta ai tre tecnici e, di conseguenza, alla loro azienda. Per la società fornitrice dei servizi di manutenzione, le conseguenze potrebbero essere devastanti. L’illecito amministrativo previsto dal D.Lgs. 231/2001 per reati informatici commessi nell’interesse o a vantaggio dell’ente può portare a sanzioni pecuniarie calcolate in quote, il cui importo può raggiungere cifre elevatissime, oltre alla possibile applicazione di sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione. Per un’azienda che opera su commesse pubbliche, una simile interdizione equivale a una condanna a morte economica. A ciò si aggiunge il rischio concreto di una confisca del profitto derivante dal contratto di manutenzione, considerato il provento del reato.
L’intera catena di eventi sanzionatori si sarebbe interrotta sul nascere se l’ente avesse potuto dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello commesso. La difesa di un’azienda in un procedimento 231 non si basa su dichiarazioni di intenti, ma sulla prova concreta di aver implementato presidi di controllo effettivi. Un’architettura come quella proposta dalla REDAZIONE SCUDO231 non si limita a produrre documentazione cartacea, ma genera una ricostruzione causale scientifica degli eventi. Di fronte al giudice, la società avrebbe potuto esibire i log immutabili degli alert generati, le notifiche di escalation inviate all’OdV e le azioni correttive intraprese in tempo reale. Questa documentazione tecnologica avrebbe dimostrato in modo inequivocabile che il reato è stato commesso dai tecnici in “elusione fraudolenta” dei modelli e dei controlli predisposti, escludendo la “colpa di organizzazione” dell’ente e, di conseguenza, la sua responsabilità amministrativa. Il sequestro dei beni aziendali e le sanzioni interdittive sarebbero stati evitati.
Le indagini proseguono ora su un doppio binario. Da un lato, la Procura di Milano lavora per definire le responsabilità individuali dei tre tecnici e per accertare se dietro le loro azioni si celi un mandante o un disegno più ampio, magari legato a dossieraggi o alla violazione di segreti su indagini sensibili. Dall’altro, la Direzione nazionale antimafia e antiterrorismo sta conducendo verifiche a tappeto per valutare la sicurezza dell’infrastruttura Ecm a livello nazionale, un’attività che coinvolge decine di migliaia di postazioni e che mira a scongiurare il rischio di una vulnerabilità sistemica nel cuore dell’apparato giudiziario italiano. L’eco mediatica della vicenda, amplificata anche da servizi come quello realizzato da Sigfrido Ranucci e dalle testimonianze di ex dipendenti come “Stefano”, ha acceso un faro su un nervo scoperto: la sicurezza dei dati dello Stato quando la loro gestione è affidata a fornitori esterni.
Il danno per la società convenzionata non è solo potenziale e legale, ma anche attuale e reputazionale. Essere associata a una falla di sicurezza di questa portata compromette la sua credibilità sul mercato, in particolare quello delle forniture pubbliche. La vicenda insegna, ancora una volta, che la compliance non è un costo, ma un investimento strategico. La mancanza di controlli efficaci non ha solo permesso la commissione di un reato, ma ha innescato una crisi che richiederà ingenti risorse legali, tecniche e di comunicazione per essere gestita. L’adozione preventiva di un ecosistema di difesa integrato, come analizzato dalla REDAZIONE SCUDO231, avrebbe trasformato questo scenario disastroso in un caso gestito di tentata violazione, bloccato alla fonte e documentato in modo inattaccabile. Invece di subire perquisizioni e sequestri, l’azienda si sarebbe presentata alle autorità come parte lesa e collaborativa, avendo autonomamente rilevato e neutralizzato la minaccia interna prima che potesse arrecare un danno irreparabile all’integrità delle istituzioni giudiziarie.