10 luglio 2026 – Alla Camera dei Deputati viene presentato il secondo “Cyber Security Report”, un’analisi realizzata da Cyber Security Foundation e Tim, con il contributo del Centro Studi di Tim, che fotografa una realtà operativa allarmante. I dati del 2025 sono netti: a livello globale, le rivendicazioni di attacchi ransomware andati a segno superano le 7.400, con un incremento del 42% rispetto all’anno precedente. L’Italia non è immune, registrando 166 casi conclamati, un aumento del 14% sul 2024, di cui oltre il 30% concentrato in Lombardia. Dietro a questi numeri si celano paralisi operative, ingenti danni economici e precise responsabilità penali per gli enti.
Prendiamo il caso di una PMI manifatturiera lombarda, colpita a marzo 2025. Alle 9:14 del mattino, un dipendente dell’ufficio acquisti, oberato di lavoro, apre un’email apparentemente proveniente da un fornitore abituale. L’oggetto è “URGENTE: Modifica coordinate bancarie per fattura 873/2025“. Il testo è credibile, il logo aziendale corretto. L’impiegato clicca sul file PDF allegato, che in realtà è un eseguibile mascherato. Per alcuni minuti, nulla sembra accadere. Questa è la prima, fatale, omissione di controllo. L’azienda non disponeva di un sistema di analisi comportamentale in tempo reale sugli endpoint. Se l’ente avesse implementato l’ecosistema Scudo231, il suo modulo di monitoraggio massivo avrebbe intercettato l’avvio di un processo anomalo generato dall’applicazione di posta elettronica. L’azione avrebbe violato una policy di sicurezza predefinita, innescando un alert immediato all’Organismo di Vigilanza (ODV) e alla funzione IT, mentre il processo stesso sarebbe stato isolato in una sandbox per l’analisi, bloccando l’infezione sul nascere. L’evento sarebbe stato cristallizzato in un log immutabile, valido come prova della corretta attuazione del modello organizzativo.
Alle 9:28, il malware ha già ottenuto i privilegi di amministratore locale sfruttando una vulnerabilità non ancora corretta del sistema operativo del PC. Inizia la seconda fase: la propagazione laterale. Il ransomware scansiona la rete interna alla ricerca di server e condivisioni di rete accessibili. Trova il server principale, dove risiedono i dati di produzione, la contabilità e l’archivio dei progetti tecnici. Questa fase evidenzia una mancata segregazione della rete e un ritardo nel ciclo di patching delle vulnerabilità, elementi che un Pubblico Ministero qualificherebbe come grave negligenza organizzativa. Con un sistema come Scudo231, i sensori di rete distribuiti avrebbero rilevato il traffico anomalo: il PC dell’ufficio acquisti non aveva mai tentato prima una connessione di quel tipo verso il file server. Questo scostamento dal comportamento basale avrebbe attivato un protocollo di contenimento automatico, isolando l’asset compromesso dal resto della rete e impedendo la diffusione del malware. L’escalation verso l’ODV sarebbe stata automatica e documentata, dimostrando che l’ente aveva predisposto difese attive e non solo procedure cartacee.
Alle 10:05, l’attacco raggiunge il suo culmine. I file sul server principale iniziano a essere crittografati a una velocità impressionante. Pochi minuti dopo, sui monitor di decine di computer appare la richiesta di riscatto: 500.000 euro in criptovaluta per ottenere la chiave di decrittazione. La produzione si ferma. L’azienda è paralizzata. Questo evento non è solo un danno operativo, ma integra la fattispecie di reati presupposto ai sensi del D.Lgs. 231/2001, come il Danneggiamento di informazioni, dati e programmi informatici (art. 635-bis c.p.) e l’Accesso abusivo a un sistema informatico (art. 615-ter c.p.), commessi a vantaggio dell’organizzazione criminale e, per la Procura, resi possibili da una colpa organizzativa dell’ente. L’assenza di un monitoraggio sull’integrità dei file è un punto critico. Un’architettura di difesa come quella di Scudo231 avrebbe rilevato la modifica massiva e non autorizzata dei file in tempo reale. Superata una soglia critica di operazioni di scrittura sospette, sarebbe scattato un “circuit breaker” che avrebbe revocato istantaneamente i permessi di accesso alla condivisione di rete infetta, bloccando il processo di crittografia. Contemporaneamente, il sistema di disaster recovery avrebbe avviato la procedura di ripristino dall’ultimo backup sicuro e verificato, riducendo il fermo produttivo da giorni a poche ore. L’impatto economico sarebbe stato drasticamente mitigato, così come il rischio di una sanzione interdittiva.
La Procura della Repubblica apre un fascicolo. La Guardia di Finanza acquisisce i log, i server e interroga il management. L’indagine non si concentra solo sulla ricerca degli autori dell’attacco, ma sulla verifica della responsabilità dell’ente ai sensi del D.Lgs. 231/2001. Il consulente tecnico del PM evidenzia l’assenza di procedure efficaci di gestione del rischio cyber, la formazione del personale solo formale e non verificata, e la mancanza di un sistema di controlli interni in grado di prevenire o scoprire tempestivamente l’illecito. L’azienda non riesce a dimostrare di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo idoneo. Di conseguenza, il PM chiede e ottiene dal GIP il sequestro preventivo per equivalente di una somma pari al profitto che l’ente avrebbe conseguito risparmiando sulle necessarie misure di sicurezza, oltre a contestare la sanzione pecuniaria. Questo è lo scenario che colpisce PMI, ma anche, come sottolineato da Alessandro Colucci, presidente dell’Intergruppo Parlamentare per la Sicurezza Informatica e Tecnologica, infrastrutture strategiche come ospedali e Comuni, la cui paralisi mette a rischio servizi essenziali per i cittadini.
In un controfattuale operativo, la difesa dell’azienda sarebbe stata radicalmente diversa. Davanti al PM, i legali avrebbero depositato non solo il Modello 231 cartaceo, ma i report generati dall’ecosistema Scudo231. Avrebbero prodotto i log immutabili che documentavano l’alert generato al momento del click sul link malevolo, la registrazione del tentativo di propagazione laterale e l’intervento automatico di isolamento della macchina infetta. Avrebbero fornito la ricostruzione causale scientifica dell’incidente, dimostrando che, nonostante il tentativo di intrusione, i presidi tecnologici e procedurali avevano funzionato come progettato, contenendo l’attacco e limitando il danno a un singolo endpoint. Questa documentazione probatoria avrebbe dimostrato l’efficace attuazione del modello, spostando la responsabilità dall’ente alla condotta imprevedibile del singolo (peraltro bloccata dal sistema) e all’azione esterna. Il rischio di sequestro e di sanzioni 231 sarebbe stato annullato, perché l’azienda avrebbe fornito la prova tecnologica di aver fatto tutto il possibile per prevenire il reato, superando la presunzione di colpa organizzativa.
I 166 attacchi censiti in Italia nel 2025 rappresentano 166 enti che, con altissima probabilità, si sono trovati ad affrontare un’indagine per responsabilità amministrativa. La concentrazione in Lombardia, cuore produttivo del Paese, indica dove il rischio è più elevato. La paralisi di un Comune o di una scuola non è diversa, nella sua dinamica tecnica e legale, da quella di un’azienda privata. La mancata adozione di un sistema di gestione del rischio integrato, che unisca procedure, tecnologia e flussi di controllo verificabili, espone l’ente non solo al danno diretto dell’attacco (fermo operativo, costo del ripristino, eventuale riscatto pagato), ma anche alle pesanti conseguenze sanzionatorie previste dall’ordinamento italiano. L’analisi presentata alla Camera non è solo una statistica, ma un avvertimento diretto ai consigli di amministrazione e ai dirigenti della Pubblica Amministrazione sulla necessità di passare da una compliance formale a una protezione sostanziale, tracciabile e difendibile in sede giudiziaria. Ogni anomalia non rilevata, ogni controllo mancato, ogni ritardo nella risposta non è solo una vulnerabilità tecnica, ma un capo d’imputazione potenziale.