Negli ultimi mesi ha suscitato grande attenzione il caso di truffa informatica che ha coinvolto l’Opera di Santa Maria del Fiore, ente di rilievo internazionale per la gestione del complesso monumentale del Duomo di Firenze.
L’episodio rappresenta un caso emblematico di come le frodi digitali moderne possano incidere su organizzazioni strutturate, dotate di procedure amministrative consolidate.
Per studi legali, imprese ed enti pubblici, la vicenda offre spunti rilevanti sotto il profilo giuridico, organizzativo e della responsabilità.
1. I fatti in sintesi
Secondo quanto emerso dalle indagini, ignoti si sarebbero inseriti nelle comunicazioni email tra l’Opera e un fornitore effettivo, alterando le coordinate bancarie (IBAN) indicate per il pagamento di fatture legittime.
Il risultato è stato il dirottamento di oltre 1,7 milioni di euro verso conti riconducibili a soggetti terzi, utilizzati come schermo per l’operazione fraudolenta.
Non si è trattato di un semplice phishing, ma di una man-in-the-middle fraud, una tecnica particolarmente insidiosa perché:
- sfrutta rapporti contrattuali reali;
- utilizza comunicazioni apparentemente autentiche;
- rende difficile individuare l’anomalia prima dell’esecuzione del pagamento.
2. Perché si tratta di una truffa “evoluta”
Questo tipo di frode colpisce il processo, non solo il sistema informatico.
L’attacco ha avuto successo perché ha intercettato un flusso ordinario di comunicazioni e pagamenti, senza introdurre elementi immediatamente sospetti.
In casi simili:
- le email appaiono formalmente corrette;
- il fornitore esiste davvero;
- la fattura è coerente con il rapporto contrattuale;
- l’errore emerge solo a pagamento avvenuto.
3. I profili giuridici rilevanti
Dal punto di vista legale, vicende di questo tipo sollevano questioni complesse:
▪ Responsabilità nei pagamenti
Chi risponde del pagamento eseguito su un IBAN errato?
La risposta dipende da molteplici fattori:
- assetto delle procedure interne;
- livelli di controllo adottati;
- diligenza esigibile in concreto;
- eventuali obblighi contrattuali di verifica.
▪ Valore probatorio delle email
Le comunicazioni elettroniche, sebbene centrali nei rapporti d’impresa, non sono di per sé garanzia di autenticità.
In giudizio, sarà necessario valutare:
- tracciabilità,
- sistemi di sicurezza adottati,
- coerenza complessiva del flusso comunicativo.
▪ Obblighi organizzativi e prevenzione
La prevenzione del rischio informatico rientra sempre più spesso tra i doveri di corretta gestione dell’ente o dell’impresa, con riflessi:
- civilistici,
- contrattuali,
- talvolta anche penali.
4. Le lezioni per imprese, enti e professionisti
Il caso dimostra che la cybersecurity non può essere considerata un tema esclusivamente tecnico.
È, a tutti gli effetti, una materia trasversale, che coinvolge:
- organizzazione interna;
- procedure amministrative;
- governance;
- responsabilità giuridica.
In particolare, assumono rilievo:
- protocolli di verifica dei cambi di IBAN;
- procedure di doppio controllo sui pagamenti rilevanti;
- formazione del personale;
- integrazione tra consulenza legale, IT e amministrazione.
5. Il ruolo dello studio legale
Studio Ajese assiste imprese ed enti sia ex post, nella gestione delle conseguenze di frodi informatiche e del relativo contenzioso, sia ex ante, supportando i clienti nella strutturazione di:
- procedure di pagamento più sicure;
- modelli organizzativi idonei a prevenire il rischio;
- presìdi legali e contrattuali coerenti con l’evoluzione delle minacce digitali.
In un contesto in cui le frodi informatiche diventano sempre più sofisticate, prevenzione, organizzazione e diritto sono strumenti inscindibili.
Conclusione
Il caso Opera di Santa Maria del Fiore non è un’eccezione, ma un segnale.
La domanda non è più se un’organizzazione possa essere colpita, ma quando e con quali strumenti sarà in grado di reagire.
Per approfondimenti o consulenza su questi temi, lo Studio Ajese rimane a disposizione.
Domande Frequenti – FAQ
Si è trattato di una frode di tipo “man‑in‑the‑middle”, in cui soggetti terzi si sono inseriti nello scambio di email tra ente e fornitore reale, modificando le coordinate bancarie per dirottare i pagamenti su conti fraudolenti.
A differenza del phishing generico, la man‑in‑the‑middle fraud sfrutta rapporti contrattuali reali, email formalmente corrette e fatture autentiche, rendendo l’operazione difficilmente individuabile prima dell’esecuzione del pagamento.
La responsabilità dipende da diversi fattori: assetto delle procedure interne, livelli di controllo adottati, diligenza concretamente esigibile e specifici obblighi contrattuali di verifica delle coordinate bancarie.
Le comunicazioni email hanno valore probatorio, ma non garantiscono di per sé autenticità; in giudizio occorre valutare tracciabilità, misure di sicurezza adottate e coerenza complessiva del flusso comunicativo.
Rientrano tra i doveri di corretta gestione l’adozione di misure organizzative e di sicurezza adeguate, con possibili ricadute civilistiche, contrattuali e, in alcune ipotesi, anche penali in caso di gravi carenze.
Sono particolarmente utili protocolli formali di verifica dei cambi di coordinate bancarie, procedure di doppio controllo sui pagamenti rilevanti e conferme tramite canali alternativi (es. telefono verificato) rispetto alla sola email.
Perché le frodi colpiscono l’intero processo amministrativo: coinvolgono governance, deleghe, controlli interni, responsabilità degli organi gestori e adeguatezza dei modelli organizzativi adottati dall’ente o dall’impresa.
Uno studio legale assiste nella gestione del contenzioso e nel recupero delle somme, nella valutazione delle responsabilità interne ed esterne e nella definizione di strategie difensive e transattive.
Supportando l’ente o l’impresa nella redazione di procedure di pagamento sicure, modelli organizzativi idonei, policy interne e clausole contrattuali che tengano conto dei rischi informatici e dei più recenti schemi di frode.
È consigliabile contattare lo Studio Ajese sia subito dopo la scoperta di un pagamento fraudolento, per impostare correttamente le azioni di tutela, sia in via preventiva, per rafforzare procedure, presìdi legali e organizzativi contro future truffe digitali.
