29 agosto 2026 – Il team di sicurezza di WhatsApp, divisione di Meta, completa la disconnessione forzata di circa duecento utenze, in prevalenza localizzate sul territorio italiano, e invia loro una notifica formale di avvertimento. L’operazione è il culmine di un’indagine interna scattata a seguito del rilevamento di un client non ufficiale, una versione alterata dell’applicazione di messaggistica, progettata e distribuita da Asigint, società italiana con sede a Cantù e parte del gruppo Sio Spa. L’analisi tecnica di Meta qualifica il software come un applicativo dannoso, un vero e proprio spyware il cui scopo era l’esfiltrazione di dati e l’intercettazione delle comunicazioni degli utenti che, attraverso tecniche di social engineering, erano stati indotti a installarlo.
La genesi dell’incidente risale a mesi prima, all’interno dei laboratori di sviluppo di Asigint. La creazione di un software di tale natura non è un’attività estemporanea, ma un progetto strutturato che richiede risorse, competenze tecniche specifiche e, soprattutto, una chiara finalità commerciale. Questo processo, per sua natura, lascia tracce indelebili all’interno dei sistemi informativi aziendali. Se Asigint avesse adottato un ecosistema di controllo integrato come Scudo231, la fase stessa di ricerca e sviluppo sarebbe stata intercettata. I sistemi di analisi multimodale avrebbero rilevato un’allocazione anomala di risorse su un progetto privo di una formale e lecita commessa cliente, incrociando i log di accesso a repository di codice sorgente con l’utilizzo di strumenti di reverse engineering e il traffico di rete verso endpoint non autorizzati riconducibili all’infrastruttura di WhatsApp. Un simile pattern avrebbe generato un alert automatico, scalando l’anomalia direttamente all’Organismo di Vigilanza (OdV) e alla funzione Compliance, i quali avrebbero avviato una verifica immediata sulla natura e liceità del progetto, bloccandolo sul nascere prima che potesse essere compilata una sola riga di codice dannoso.
Invece, il progetto è andato avanti indisturbato. Asigint ha prodotto un client fraudolento che, pur imitando l’interfaccia dell’app ufficiale, operava al di fuori dell’infrastruttura sicura di Meta. WhatsApp ha precisato che non si è trattato di una violazione della propria piattaforma né di una compromissione della crittografia end-to-end, che rimane inviolata sull’applicazione legittima. Il meccanismo di attacco si è basato interamente sull’inganno dell’utente finale, convinto a scaricare e installare un software da fonti non ufficiali. Questa attività configura una pluralità di fattispecie di reato, tutte riconducibili al novero dei reati presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Si tratta, in particolare, dei delitti di accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.), detenzione e diffusione abusiva di codici di accesso (art. 615-quater c.p.), intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617-quater c.p.) e installazione di apparecchiature atte ad intercettare (art. 617-quinquies c.p.).
L’azione di Asigint, finalizzata alla vendita di un servizio di sorveglianza illecita, è stata compiuta nell’interesse e a vantaggio dell’ente. L’interesse è ravvisabile nella volontà di posizionarsi su un mercato lucrativo, quello degli spyware commerciali; il vantaggio è il profitto economico derivante dalla commercializzazione del software o dei dati illecitamente captati. Di fronte a questi elementi, l’apertura di un procedimento penale da parte della Procura della Repubblica competente è un atto dovuto e imminente. L’indagine non si limiterà a identificare le responsabilità penali delle persone fisiche – amministratori, direttori tecnici, sviluppatori – ma si estenderà inevitabilmente alla persona giuridica, Asigint, e potenzialmente alla sua controllante, Sio Spa. Il Pubblico Ministero contesterà all’ente la cosiddetta colpa di organizzazione, ovvero la mancata adozione ed efficace attuazione di un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quelli commessi.
In questo scenario, la prima e più dirompente misura che l’autorità giudiziaria adotterà sarà il sequestro preventivo ai fini della confisca del profitto del reato, ai sensi dell’art. 53 del D.Lgs. 231/2001. Il profitto non è solo l’utile netto, ma l’intero valore dei contratti stipulati per la fornitura dello spyware. In assenza di una contabilità trasparente, il sequestro può essere eseguito “per equivalente” sui beni e sulle disponibilità liquide della società, fino a concorrenza del valore stimato del profitto. Tale misura ha un effetto paralizzante sull’operatività aziendale, congelando i conti correnti e bloccando di fatto ogni attività. L’impatto sarebbe stato radicalmente diverso se l’azienda avesse potuto dimostrare, fin dalle prime fasi delle indagini, l’esistenza di un modello preventivo robusto. Un’architettura come Scudo231 non si limita a produrre documenti cartacei, ma genera un flusso continuo di dati probatori. Di fronte a una richiesta della Guardia di Finanza, la società avrebbe potuto estrarre dai propri sistemi un dossier probatorio digitale (XAI Packet), contenente i log immodificabili degli alert generati e ignorati, le registrazioni dei controlli automatici sui processi di sviluppo software che sono stati fraudolentemente elusi e le comunicazioni tracciate tra le funzioni operative e l’OdV. Questa prova tecnologica avrebbe dimostrato in modo scientifico che il reato è stato commesso da singoli soggetti che hanno agito eludendo fraudolentemente i modelli di prevenzione, spostando la responsabilità penale sulle persone fisiche e proteggendo il patrimonio aziendale dal sequestro. L’ente avrebbe potuto così dimostrare non una mera adozione formale, ma l’efficace attuazione del modello, escludendo la propria responsabilità amministrativa.
L’azione di WhatsApp non si è limitata alla protezione degli utenti. La società ha annunciato l’invio di una diffida formale ad Asigint, intimando l’immediata cessazione di ogni attività dannosa. Questo passo è il preludio a un’azione legale in sede civile per il risarcimento dei danni d’immagine e per la violazione dei termini di servizio, e potenzialmente a un’azione penale negli Stati Uniti, sulla scorta di precedenti azioni legali intentate da Meta contro produttori di spyware. La dimensione internazionale del rischio è un elemento che amplifica le conseguenze per Asigint e la sua controllante. La responsabilità del gruppo Sio Spa, infatti, non è affatto esclusa. La giurisprudenza in materia 231 ha progressivamente esteso la responsabilità anche alle holding per omessa vigilanza e controllo sulla controllata (la cosiddetta “responsabilità da direzione e coordinamento”). La Procura verificherà se Sio Spa abbia implementato procedure di gruppo idonee a monitorare e prevenire i rischi di reato nelle sue partecipate.
L’assenza di un sistema di monitoraggio dei flussi informativi tra controllata e controllante rappresenta una grave lacuna organizzativa. Un modello 231 evoluto, esteso a livello di gruppo, avrebbe previsto protocolli di comunicazione obbligatori e tracciati per attività ad alto rischio. La proposta commerciale di un prodotto come uno spyware da parte di Asigint avrebbe dovuto innescare un processo di approvazione che coinvolgeva necessariamente le funzioni legali e di compliance della capogruppo. L’ecosistema di controllo avrebbe registrato la richiesta, l’avrebbe classificata ad altissimo rischio di non conformità e avrebbe attivato un’istruttoria interna da parte dell’OdV di Sio Spa. Il tracciamento di questo flusso decisionale avrebbe impedito ad Asigint di procedere autonomamente, oppure, in caso di violazione deliberata delle direttive di gruppo, avrebbe fornito a Sio Spa la prova inconfutabile di aver esercitato i propri doveri di vigilanza, isolando la responsabilità penale e amministrativa alla sola controllata. La mancanza di questi presidi, invece, espone l’intero gruppo a sanzioni pecuniarie calcolate in quote sul fatturato consolidato, a sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione e, nei casi più gravi, alla confisca dell’intero profitto illecito. La vicenda Asigint, al di là dei suoi risvolti tecnologici, si configura come un caso di studio sulla causalità diretta tra l’assenza di presidi di legalità efficaci e il concretizzarsi di un danno operativo, reputazionale e patrimoniale di vastissima portata.