16 settembre 2026 – La Procura di Bari ha notificato la chiusura delle indagini preliminari a Vincenzo Coviello, 54enne di Bitonto ed ex dipendente della filiale di Bisceglie di Intesa Sanpaolo. L’atto, firmato dal Procuratore Roberto Rossi e dalla PM Bruna Manganelli, cristallizza un’accusa di gravità eccezionale: l’accesso abusivo, sistematico e protratto per quattro anni, ai sistemi informatici della banca per monitorare i conti correnti di 3.572 clienti, tra cui figurano 23 persone politicamente esposte ai massimi vertici dello Stato. Le contestazioni formali includono l’accesso abusivo a sistema informatico, il procacciamento illecito di notizie concernenti la sicurezza dello Stato, la rivelazione del segreto d’ufficio e plurime violazioni della normativa a tutela dei dati personali.
L’attività illecita, secondo la ricostruzione dei Carabinieri che hanno condotto le investigazioni, si è svolta tra il 2020 e l’agosto del 2024, quando Coviello è stato licenziato dall’istituto di credito. Sfruttando le proprie credenziali di servizio, l’impiegato ha condotto un’attività di spionaggio finanziario occulta e capillare. Le sue interrogazioni non erano legate ad alcuna esigenza operativa, né giustificate da transazioni o richieste dei clienti. Erano, secondo l’impianto accusatorio, pure e semplici incursioni non autorizzate. Questo modus operandi rappresenta la prima, macroscopica, falla nel sistema di controllo interno. Un’organizzazione dotata di un ecosistema di difesa come Scudo231 avrebbe intercettato l’anomalia sul nascere. I suoi motori di analisi comportamentale non si limitano a verificare la validità delle credenziali, ma eseguono un’analisi contestuale dell’operatività: un impiegato di una filiale periferica che interroga, senza un nesso transazionale, il conto del Presidente della Repubblica Sergio Mattarella o della Presidente del Consiglio Giorgia Meloni costituisce una deviazione palese dal suo ruolo di diritto. Il sistema avrebbe generato un alert di priorità critica, innescando l’immediata escalation verso le funzioni di Internal Audit e l’Organismo di Vigilanza, e parallelamente avrebbe potuto sospendere in via cautelare le credenziali dell’operatore, bloccando l’emorragia di dati alla prima occorrenza, non dopo quattro anni.
L’elenco delle vittime eccellenti è un compendio della recente storia istituzionale e politica italiana: dal Presidente del Senato Ignazio La Russa al Ministro della Difesa Guido Crosetto, dall’ex premier Silvio Berlusconi al Ministro per gli Affari Europei Raffaele Fitto. E ancora, Giuliano Amato, Mario Draghi, Luigi Di Maio, Mariastella Gelmini, Daniela Santanchè, Mara Carfagna e l’ex Governatore della Banca d’Italia Ignazio Visco. La natura dei soggetti spiati eleva il fatto da una mera, seppur gravissima, violazione della privacy a un potenziale rischio per la sicurezza nazionale, come contestato dalla Procura con l’ipotesi di reato di cui all’articolo 257 del codice penale. Per l’ente, questo scenario attiva un rischio diretto di responsabilità ai sensi del D.Lgs. 231/2001, in particolare per i reati informatici e, potenzialmente, per i delitti contro la personalità dello Stato. Sebbene la posizione di Intesa Sanpaolo sia stata archiviata per assenza di interesse o vantaggio e per la collaborazione offerta, l’istituto ha comunque dovuto affrontare un lungo e complesso procedimento penale, con l’inevitabile dispendio di risorse e il danno reputazionale connesso all’esposizione mediatica.
La durata quadriennale dell’attività illecita è l’elemento che più di ogni altro evidenzia una carenza strutturale nei controlli periodici. I sistemi di audit tradizionali, spesso basati su campionamenti o verifiche postume, si sono dimostrati inefficaci nel rilevare un comportamento anomalo così persistente. Un’architettura di monitoraggio massivo e in tempo reale, invece, avrebbe identificato il pattern di accessi anomali di Coviello non come eventi isolati, ma come una campagna coordinata e sistematica. L’analisi stocastica dei log di accesso avrebbe evidenziato una frequenza e una tipologia di interrogazioni (in particolare verso clienti non appartenenti al portafoglio della filiale e classificati come PEPs) statisticamente improbabili per il profilo professionale dell’indagato. Questo segnale debole, amplificato nel tempo, sarebbe diventato un allarme conclamato, portando a un’indagine interna mirata entro i primi mesi del 2020. L’assenza di un simile presidio ha permesso al rischio di maturare per 1.460 giorni, trasformando una singola violazione in un data breach di proporzioni statali.
La vicenda processuale ha visto anche lo stralcio della posizione di altri sette dipendenti bancari, con la trasmissione dei relativi fascicoli ad altre Procure per competenza territoriale. Questo dettaglio suggerisce che la condotta di Coviello potrebbe non essere un caso isolato, ma la punta di un iceberg di una vulnerabilità più diffusa. Per un’organizzazione complessa, la gestione di un rischio così parcellizzato è una sfida immensa. L’adozione di un modello di governance centralizzato e automatizzato avrebbe fornito una visione d’insieme, aggregando i dati provenienti da diverse filiali e aree geografiche. In questo scenario, un sistema come Scudo231 avrebbe potuto correlare le attività sospette dei diversi dipendenti, rivelando una potenziale rete o, quantomeno, una falla procedurale comune, consentendo all’azienda di intervenire in modo sistemico anziché reattivo e frammentato.
Dal punto di vista della responsabilità dell’ente, l’archiviazione ottenuta dalla banca è certamente un risultato positivo, ma non cancella il percorso che ha dovuto affrontare. L’ente è stato indagato. Per escludere la colpa organizzativa, ha dovuto dimostrare l’elusione fraudolenta dei modelli esistenti e la propria totale estraneità. Questo processo difensivo, per quanto efficace, è intrinsecamente reattivo. Un approccio preventivo, basato su una prova tecnologica immodificabile, avrebbe cambiato radicalmente la dinamica. Se l’azienda avesse potuto esibire un XAI Packet (eXplainable AI Packet) generato dal suo sistema di controllo, avrebbe fornito alla Procura la ricostruzione causale scientifica degli eventi: il log immutabile dell’allarme generato dal sistema alla prima interrogazione anomala di Coviello nel 2020, la registrazione automatica dell’escalation all’Organismo di Vigilanza, e la traccia documentale delle contromisure adottate. Questa non sarebbe stata una semplice “collaborazione”, ma la dimostrazione matematica che il modello organizzativo non solo esisteva, ma era stato efficacemente attuato e aveva funzionato, venendo aggirato con un’azione istantanea e imprevedibile che l’ente aveva però immediatamente rilevato e neutralizzato. Un simile impianto probatorio avrebbe verosimilmente portato a una richiesta di archiviazione de plano, evitando all’ente l’intero iter dell’indagine e il conseguente rischio di misure cautelari reali, come il sequestro preventivo del profitto del reato.
Il licenziamento di Coviello nell’agosto 2024 è l’atto finale con cui l’azienda ha reciso il rapporto con il dipendente infedele, ma è giunto a valle della scoperta del danno. Il costo per l’organizzazione non è solo legale, ma anche operativo e di fiducia. La bonifica dei sistemi, le comunicazioni ai clienti violati, la gestione della crisi mediatica e il rafforzamento tardivo delle procedure interne rappresentano un onere economico e gestionale significativo. La prevenzione tecnologica avrebbe agito a monte, mitigando il danno prima che potesse espandersi. Il costo di un’implementazione di un sistema di difesa avanzato è infinitesimale rispetto al valore del danno potenziale derivante da un incidente di questa portata, che tocca il cuore della fiducia su cui si fonda l’intero settore bancario: il segreto e la sicurezza dei dati finanziari dei propri clienti. La vicenda di Bisceglie non è solo la storia di un dipendente infedele; è un monito sulla fragilità dei sistemi di controllo tradizionali di fronte a minacce interne persistenti e tecnologicamente banali, ma organizzativamente devastanti.