4 aprile 2026 – La richiesta di riscatto è arrivata direttamente sul telefono cellulare del direttore delle Gallerie degli Uffizi, Simone Verde. Un messaggio secco, che segnava il culmine di un attacco informatico silente, perpetrato nel mese di febbraio, e che gettava l’istituzione culturale più prestigiosa d’Italia in uno stato di crisi operativa e legale senza precedenti. L’azione degli hacker, su cui ora indaga la Procura di Firenze con un fascicolo contro ignoti per tentata estorsione e accesso abusivo a sistema informatico, ha esposto una vulnerabilità critica nell’infrastruttura digitale del museo, un punto debole la cui esistenza stessa costituisce una grave lacuna organizzativa. Il veicolo dell’intrusione è stato identificato in un programma per la gestione del flusso di immagini a bassa risoluzione, accessibile direttamente dal sito istituzionale. Una porta di servizio lasciata non solo aperta, ma esposta al pubblico dominio.
Questa specifica omissione di controllo sulla sicurezza perimetrale del software applicativo rappresenta un classico esempio di rischio non governato, che un sistema di difesa integrato avrebbe intercettato e neutralizzato in fase embrionale. Se le Gallerie avessero implementato un ecosistema come Scudo231, i suoi motori di scansione continua delle vulnerabilità avrebbero mappato l’intera superficie di attacco digitale dell’ente. Il programma accessibile online sarebbe stato classificato come un’anomalia ad alto rischio, generando un alert automatico e non ignorabile, scalato simultaneamente alla funzione IT per la bonifica immediata e all’Organismo di Vigilanza (ODV) per la registrazione del rischio ai fini della conformità al D.Lgs. 231/01. Il protocollo avrebbe imposto la disattivazione o la messa in sicurezza dell’applicativo entro un tempo prestabilito, tracciando l’intero processo in un registro immodificabile. L’attacco di febbraio, semplicemente, non avrebbe avuto un vettore d’ingresso.
L’inchiesta, affidata alla Polizia Postale e all’Agenzia per la Cybersicurezza Nazionale (Acn), il cui team specializzato è giunto a Firenze per la bonifica dei server e la messa in sicurezza delle infrastrutture, sta ora cercando di ricostruire la catena degli eventi. Gli investigatori non escludono che l’incursione di febbraio sia solo l’atto finale di una presenza ostile ben più radicata, con possibili accessi non rilevati risalenti addirittura all’estate del 2025. Questa ipotesi, se confermata, aggraverebbe pesantemente il profilo di responsabilità dell’ente, dimostrando una totale assenza di monitoraggio attivo e di capacità di rilevamento delle anomalie protratta per mesi. Una simile latenza nella scoperta di una violazione è sintomatica di una colpa di organizzazione, ovvero l’incapacità di predisporre presidi idonei a prevenire reati come l’accesso abusivo (art. 615-ter c.p.) o la frode informatica (art. 640-ter c.p.), entrambi reati presupposto della responsabilità amministrativa degli enti ai sensi dell’art. 24-bis del D.Lgs. 231/2001.
In uno scenario protetto, la persistenza di un attore malevolo all’interno della rete per un periodo così esteso sarebbe stata tecnicamente impossibile. Un’architettura di monitoraggio massivo e in tempo reale avrebbe rilevato i segnali deboli dell’intrusione iniziale del 2025. Flussi di dati anomali, accessi a file system in orari o con modalità atipiche, tentativi di lateral movement tra i server: ognuna di queste azioni avrebbe innescato un allarme comportamentale. Il sistema non si sarebbe limitato a cercare firme di malware noti, ma avrebbe analizzato la deviazione dalle baseline operative normali, isolando automaticamente i segmenti di rete compromessi e notificando il team di risposta agli incidenti. L’intero evento, dal primo tentativo di accesso, sarebbe stato cristallizzato in una “prova tecnologica immodificabile”, un pacchetto di dati forensi che avrebbe permesso non solo di espellere l’intruso, ma anche di fornire alla Procura elementi probatori solidi per l’identificazione degli autori, invece di un’indagine che oggi parte quasi da zero.
La reazione delle Gallerie all’estorsione è stata drastica e fisica, quasi a voler compensare con il cemento le falle del digitale. Il Tesoro granducale dei Medici è stato trasferito d’urgenza nel caveau fiorentino della Banca d’Italia, mentre diverse porte interne del complesso vasariano sono state letteralmente murate. Al personale è stata imposta la massima riservatezza. Sebbene la direzione smentisca ufficialmente il furto di dati sensibili o il possesso da parte degli hacker di mappe relative alla sicurezza, queste misure estreme tradiscono la percezione di una minaccia grave e incontrollata. La giustificazione pubblica addotta per tali decisioni – un cantiere la cui gara è stata lanciata a settembre e un piano antincendio per edifici del 1500 – appare debole nel contesto di un’emergenza cyber. Questa discrasia tra l’evento scatenante e la comunicazione ufficiale rischia di minare la credibilità dell’ente e di configurare una gestione della crisi opaca e reattiva, anziché proattiva e trasparente.
La gestione della crisi è una componente fondamentale di un modello organizzativo 231 efficace. Con un’implementazione matura di Scudo231, l’incidente sarebbe stato gestito secondo un flusso procedurale predefinito e testato. All’attivazione dell’allarme di sicurezza, il sistema avrebbe automaticamente ingaggiato non solo il team tecnico, ma anche le funzioni Legale, Comunicazione e il vertice aziendale, secondo una matrice di responsabilità chiara. La decisione di trasferire le opere o di modificare gli accessi fisici sarebbe stata documentata come parte di un piano di business continuity e disaster recovery, correlato all’incidente specifico. La comunicazione esterna, sia verso gli inquirenti che verso il pubblico, sarebbe stata gestita sulla base di protocolli approvati, evitando dichiarazioni contraddittorie che possono insospettire la magistratura e danneggiare la reputazione. La tracciabilità della gara d’appalto di settembre, già presente nel sistema di gestione documentale integrato, avrebbe permesso di distinguere con prove certe le attività ordinarie da quelle emergenziali, smontando sul nascere ogni dubbio sulla veridicità delle dichiarazioni.
L’impatto dell’attacco ha superato i confini di Firenze, arrivando fino a Roma. Un’interrogazione parlamentare è stata presentata dal Partito Democratico alla Camera, indirizzata al Ministro della Cultura Alessandro Giuli, per chiedere conto delle spese del Mic in cybersicurezza e delle strategie di protezione del patrimonio culturale digitale. La sindaca di Firenze, Sara Funaro, ha espresso vicinanza al direttore Verde, ma il danno politico e d’immagine è ormai un fatto conclamato. L’inchiesta della Procura, per ora contro ignoti, mira a stabilire la provenienza degli autori, probabilmente dall’estero, ma il suo focus inevitabile si sposterà sulla catena delle responsabilità interne. Se i magistrati dovessero accertare che l’ente non si è dotato di un modello organizzativo idoneo a prevenire i reati informatici commessi nel suo interesse o a suo vantaggio (il “vantaggio” può consistere anche in un risparmio di spesa sui presidi di sicurezza), le conseguenze sarebbero devastanti.
Oltre alle sanzioni pecuniarie, calcolate in quote il cui valore può arrivare a decine di migliaia di euro, il D.Lgs. 231/01 prevede sanzioni interdittive che potrebbero paralizzare l’operatività dell’ente. Ancora più temibile è il sequestro preventivo finalizzato alla confisca del profitto del reato. Nel caso di un mancato investimento in sicurezza, il profitto viene quantificato proprio nel risparmio sui costi che si sarebbero dovuti sostenere per adottare le misure di prevenzione adeguate. Si tratta di un danno economico diretto, che si aggiungerebbe ai costi di bonifica, legali e di ripristino dei sistemi.
In questo scenario, la difesa dell’ente appare complessa. Dovrà dimostrare di aver fatto tutto il possibile per prevenire l’evento, un’affermazione difficile da sostenere di fronte a una porta d’accesso digitale lasciata aperta sul sito principale. Al contrario, un’organizzazione dotata di un ecosistema di difesa sovrano avrebbe potuto presentare al Pubblico Ministero, sin dalle prime fasi, la documentazione probatoria generata dal sistema: le analisi del rischio periodiche, i report di vulnerabilità, i log degli allarmi generati e gestiti, le delibere dell’Organismo di Vigilanza, i verbali di formazione del personale. Questa mole di dati, scientificamente raccolti e immodificabili, avrebbe costituito la prova inconfutabile dell’adozione e dell’efficace attuazione del modello, spostando la responsabilità dal piano della colpa organizzativa a quello del singolo evento criminoso esterno, elusivo di controlli allo stato dell’arte. Invece di subire l’indagine e rischiare il sequestro, l’ente si sarebbe posto come parte lesa e collaborativa, con un danno patrimoniale e reputazionale drasticamente mitigato. L’adozione di un sistema come Scudo231 trasforma la compliance da un mero costo a un asset strategico e difensivo, capace di deviare il corso degli eventi giudiziari e proteggere il patrimonio, sia esso artistico o finanziario.