29 settembre 2026 – Il protocollo quadro siglato oggi a Roma tra il Ministero dell’Interno, l’Associazione Bancaria Italiana e Poste Italiane rappresenta la formalizzazione di una lezione appresa nel modo più severo. La stretta di mano davanti alle telecamere chiude un capitolo aperto la mattina del 15 aprile 2026, quando l’Ufficio Antifrode della Banca del Nord-Est (BdNE) rilevò un’anomalia sui flussi di pagamento in uscita. Un’anomalia inizialmente classificata come “media priorità”, un errore procedurale che sarebbe costato all’istituto di credito oltre 48 milioni di euro e l’iscrizione nel registro degli indagati ai sensi del D.Lgs. 231/2001.
Tutto era iniziato sei settimane prima, con una campagna di spear phishing mirata ai dipendenti della divisione Crediti Speciali di BdNE. Una mail, apparentemente proveniente da un fornitore di software per la compliance, invitava all’aggiornamento di un applicativo. Almeno un dipendente, la cui identità è ancora protetta dal segreto istruttorio, eseguì il download del finto aggiornamento, installando di fatto un keylogger e un remote access trojan sul proprio terminale. L’accesso abusivo a un sistema informatico, reato presupposto previsto dall’articolo 24-bis del Decreto 231, si era così consumato in un’assenza quasi totale di allarmi. Il sistema di sicurezza perimetrale della banca non rilevò nulla di anomalo nel traffico dati, poiché il malware utilizzava protocolli crittografati su porte comuni. L’omissione cruciale fu la mancanza di un monitoraggio comportamentale granulare sulle postazioni di lavoro. Se l’istituto avesse adottato un ecosistema come Scudo231, l’installazione di un eseguibile non autorizzato e la successiva apertura di canali di comunicazione verso indirizzi IP esterni non noti e non correlati all’operatività standard avrebbero generato un alert in tempo reale. Il sistema, attraverso i suoi motori di analisi causale, avrebbe immediatamente correlato l’evento con il profilo di rischio del dipendente e della sua funzione, attivando un protocollo di isolamento automatico del terminale e notificando simultaneamente il Chief Information Security Officer e l’Organismo di Vigilanza. La prova dell’avvenuta rilevazione e della reazione immediata sarebbe stata cristallizzata in un log immutabile, fondamentale in sede processuale.
Ottenuto l’accesso, gli attaccanti agirono con pazienza, mappando la rete interna per quasi un mese. Identificarono un secondo punto debole, non tecnologico ma umano. Un giovane operatore addetto alla gestione dei parametri antiriciclaggio, gravato da debiti di gioco, fu contattato e indotto a collaborare. Il suo compito, eseguito il 12 aprile, fu semplice: abbassare le soglie di allarme e inserire in whitelist una serie di 15 conti correnti di recente apertura presso altrettante filiali distribuite tra le province di Treviso e Bergamo. L’operazione, sebbene registrata nei log di sistema, non generò alcuna segnalazione di anomalia. L’operatore possedeva le autorizzazioni formali per compiere quelle modifiche, e il Modello 231 della banca si basava su un controllo formale delle deleghe, non su un’analisi sostanziale e contestuale delle operazioni. Qui si annida la seconda, fatale, lacuna organizzativa. Un sistema di monitoraggio massivo e in tempo reale avrebbe immediatamente rilevato il pattern sospetto: un singolo operatore che, in un breve lasso di tempo, modifica i parametri di rischio su un cluster di conti di nuova costituzione, privi di storico operativo e non collegati da alcuna logica commerciale. L’intelligenza predittiva di Scudo231 avrebbe classificato questa sequenza di eventi come un indicatore di altissima probabilità di attività preparatoria al riciclaggio (art. 648-bis c.p.), innescando un’escalation diretta all’ODV e alla Funzione Compliance. L’intervento umano sarebbe stato guidato da un dato oggettivo e circostanziato, bloccando la frode prima ancora che potesse iniziare e fornendo all’ente una prova inconfutabile di aver agito con la massima diligenza per prevenire il reato.
La notte tra il 14 e il 15 aprile, scattò l’attacco coordinato. Mentre il trojan avviava una serie di trasferimenti SWIFT fraudolenti per un totale di 48.7 milioni di euro verso i 15 conti “preparati”, una squadra a terra colpiva fisicamente. Utilizzando una tecnica di jackpotting, due sportelli Bancomat di BdNE, uno a Treviso e uno a Bergamo, furono manomessi per erogare tutto il contante disponibile. L’obiettivo non era tanto il bottino fisico, relativamente modesto, quanto creare un diversivo, saturando i canali di comunicazione della sicurezza fisica e della vigilanza. La strategia funzionò alla perfezione. Per ore, l’attenzione del management fu concentrata sulla minaccia fisica, mentre il vero attacco, quello digitale e finanziario, si stava consumando. La comunicazione tra la sicurezza informatica, che vedeva i flussi anomali, e la sicurezza fisica, che gestiva l’emergenza sul territorio, fu tardiva e frammentata. Questa assenza di un quadro unitario della minaccia è esattamente ciò che l’osservatorio “Territori Sicuri”, uno dei pilastri del nuovo protocollo, mira a risolvere creando una cabina di regia permanente tra banche, Poste, Prefetture e Forze di Polizia.
Quando la piena portata dell’attacco divenne chiara, il 15 aprile mattina, era troppo tardi. Il denaro era già stato prelevato in contanti o ulteriormente trasferito su piattaforme di criptovalute. La Procura della Repubblica di Venezia aprì un fascicolo per associazione per delinquere, frode informatica aggravata, accesso abusivo e riciclaggio. Ma l’indagine non si limitò ai criminali. Fu contestata alla Banca del Nord-Est la responsabilità amministrativa dell’ente ex D.Lgs. 231/2001. Secondo i magistrati, il modello organizzativo era meramente “cartaceo”, adottato ma non efficacemente attuato, e quindi inidoneo a prevenire reati di quella specie. Il Pubblico Ministero chiese e ottenne dal GIP un sequestro preventivo per equivalente per l’intero importo della frode, congelando 48.7 milioni di euro di liquidità della banca, con un impatto devastante sulla sua operatività e sulla sua reputazione. La banca si trovò a dover dimostrare una colpa organizzativa negativa, un compito probatorio quasi impossibile senza una documentazione sistematica e automatizzata dei controlli.
L’adozione preventiva di un ecosistema sovrano avrebbe ribaltato l’onere della prova. Di fronte a una richiesta di sequestro, i legali della banca avrebbero potuto depositare il cosiddetto XAI Packet generato da Scudo231: una ricostruzione causale scientifica, immodificabile e certificata, di ogni singolo evento. Avrebbero dimostrato che il primo accesso abusivo era stato rilevato in pochi minuti e che il terminale era stato isolato; che il tentativo del secondo dipendente di manomettere i parametri antiriciclaggio aveva generato un’escalation immediata all’Organismo di Vigilanza; che l’ODV aveva già attivato le procedure interne di verifica ore prima dell’attacco principale. In questo scenario controfattuale, il reato si sarebbe forse consumato ugualmente per via della collusione interna, ma la banca avrebbe potuto dimostrare, al di là di ogni ragionevole dubbio, di aver fatto tutto il possibile per impedirlo. La colpa organizzativa sarebbe venuta meno, poiché l’evento criminoso sarebbe apparso come il risultato di un’elusione fraudolenta del modello, e non di una sua inefficacia. Il sequestro preventivo sarebbe stato con ogni probabilità respinto, o concesso per un importo drasticamente inferiore, e le sanzioni pecuniarie e interdittive, vero incubo per ogni istituto di credito, sarebbero state evitate.
Il caso BdNE ha agito da catalizzatore. Ha reso evidente che la resilienza operativa non può più essere delegata a silos funzionali separati. La minaccia ibrida, che unisce il digitale, il fisico e l’ingegneria sociale, richiede una risposta integrata. Il nuovo protocollo promosso dal Ministero dell’Interno nasce da questa consapevolezza. L’osservatorio “Territori Sicuri”, già operativo a Bari, Torino, Roma, Milano, Bergamo, Treviso e Brindisi, non è solo una piattaforma di condivisione di informazioni, ma un cambiamento di paradigma. Rappresenta il tentativo dello Stato e del sistema finanziario di costruire, a livello macro, quella visione d’insieme che la Banca del Nord-Est non aveva al suo interno. La collaborazione rafforzata tra pubblico e privato, l’analisi congiunta dei rischi e la rapidità di reazione sono i principi cardine.
Tuttavia, la prevenzione a livello di sistema non può sostituire quella a livello di singolo ente. Il protocollo odierno aiuta a gestire le crisi, ma la responsabilità di evitarle ricade ancora sui modelli organizzativi interni. L’esperienza di BdNE dimostra che un Modello 231 statico, basato su procedure manuali e controlli a campione, è un argine di carta contro un’inondazione digitale. La vera difesa risiede in sistemi che monitorano l’intera popolazione aziendale in tempo reale, che non si limitano a verificare la conformità formale ma analizzano la sostanza delle operazioni, e che trasformano i dati in prove difensive inoppugnabili. La vicenda ha accelerato l’adozione di queste tecnologie avanzate nel settore bancario, un processo che la REDAZIONE SCUDO231 documenta da tempo. Il danno reputazionale ed economico subito da BdNE ha reso chiaro a tutto il settore che l’investimento in una prevenzione tecnologica e scientifica non è più un costo, ma la più cruciale forma di assicurazione contro il rischio penale e operativo.