Frodi cyber: 30 milioni sottratti, insider condannato e 94 call center chiusi

🛡️ Executive Summary

• Brasile e Germania colpiscono una rete accusata di avere sfruttato un difetto presso un service provider per sottrarre circa 30 milioni di euro.
• Un ex data analyst di Brightly Software riceve 24 mesi di carcere dopo avere usato dati aziendali per tentare un’estorsione da 2,5 milioni di dollari.
• La polizia ucraina chiude 94 call center fraudolenti, esegue 411 perquisizioni e sequestra infrastrutture, contanti, SIM, carte bancarie e accessi crypto.

Tre operazioni giudiziarie mostrano facce differenti della stessa economia industriale della frode digitale. In Brasile quattro persone sono state arrestate nell’indagine su una sottrazione da circa 30 milioni di euro ai danni dei clienti di un istituto finanziario tedesco, resa possibile da un problema software presso un fornitore di servizi. Negli Stati Uniti l’ex data analyst Cameron Curry è stato condannato a 24 mesi di carcere dopo avere sfruttato l’accesso professionale ai dati di Brightly Software per tentare un’estorsione da 2,5 milioni di dollari. In Ucraina, infine, le autorità hanno chiuso 94 call center fraudolenti utilizzati per falsi investimenti, truffe bancarie e accesso remoto ai dispositivi delle vittime.

Una falla nella filiera dei pagamenti apre una frode da 30 milioni

L’operazione più rilevante sul piano finanziario parte da un incidente avvenuto nel novembre 2023 e ricostruito attraverso una cooperazione investigativa tra Polícia Federal brasiliana e Bundeskriminalamt tedesco. Secondo le autorità, un gruppo criminale avrebbe sfruttato una vulnerabilità introdotta da un aggiornamento software difettoso presso un fornitore coinvolto nel sistema di elaborazione delle transazioni di un istituto finanziario tedesco. Per quattro giorni gli attaccanti sarebbero riusciti a generare numerosi addebiti diretti non autorizzati, facendo successivamente transitare il denaro attraverso una rete di soggetti e strumenti costruita per renderne più difficile la tracciabilità. Le autorità non hanno nominato ufficialmente l’istituto interessato, mentre la banca identificata come Commerzbank ha confermato alla stampa che alcuni clienti erano stati coinvolti e che non avevano subito perdite economiche finali. Il punto tecnico resta però più ampio della singola banca: un problema collocato presso un service provider è diventato il punto debole attraverso il quale raggiungere conti appartenenti a clienti di un’organizzazione finanziaria che non era necessariamente vulnerabile nello stesso modo. È una dinamica supply chain che Matrice Digitale segue da tempo e che, nelle frodi, assume una forma diversa dal malware tradizionale: compromettere l’intermediario significa ereditare le relazioni fiduciarie e i processi che collega ai suoi clienti.

La Polícia Federal brasiliana ha avviato il 13 agosto 2026 l’Operação Klonen, eseguendo 21 mandati di perquisizione tra Rio de Janeiro, Guarulhos, Carapicuíba, Indaiatuba, Goiânia, Senador Canedo e Anápolis e quattro ordinanze di custodia cautelare. L’autorità brasiliana parla esplicitamente di una frode elettronica ai danni di un istituto tedesco e quantifica il danno in circa 30 milioni di euro. La vicenda conferma quanto le truffe finanziarie moderne non possano più essere separate nettamente dal cybercrime: Matrice Digitale aveva già documentato una maxi frode da 140 milioni di euro smantellata in Spagna, dove infrastruttura tecnica, account finanziari e riciclaggio costituivano parti della stessa catena criminale.

Conti di passaggio, crypto e carte nascondono il percorso del denaro

Ottenere materialmente i fondi rappresenta soltanto la prima fase di una frode di queste dimensioni. L’indagine brasiliana indica che il denaro veniva movimentato e occultato attraverso conti di passaggio, società, istituzioni di pagamento, piattaforme di asset virtuali e carte di pagamento emesse senza il consenso dei beneficiari. La maggior parte delle somme sarebbe stata prelevata in Brasile, mentre una quota inferiore sarebbe stata incassata in quattro Paesi europei. Tre ulteriori sospettati sono stati individuati in Europa e dovrebbero essere perseguiti in Spagna e Bulgaria. Il tribunale brasiliano ha inoltre disposto il sequestro di disponibilità finanziarie, automobili e immobili fino a circa 106 milioni di real, equivalenti a oltre 20 milioni di dollari. Uno degli indagati, secondo la Polícia Federal, avrebbe perfino utilizzato parte del denaro illecito per finanziare la propria candidatura a una carica elettiva nel 2024. La fase del cash-out mostra perché le grandi frodi richiedano reti ben più estese degli specialisti tecnici che individuano il punto debole iniziale: servono soggetti in grado di aprire o controllare conti, società attraverso cui far transitare denaro, carte, wallet e intermediari che frammentino il flusso finanziario. È lo stesso principio emerso nella rete brasiliana che riciclava attraverso le criptovalute i proventi del traffico di cocaina e nelle operazioni internazionali contro infrastrutture di riciclaggio crypto utilizzate dal cybercrime: il denaro digitale riduce i tempi di movimentazione, ma non elimina la necessità di una filiera capace di trasformarlo, nasconderlo e riportarlo nell’economia reale.

Brightly Software viene estorta da chi aveva accesso legittimo ai dati

Il secondo caso ribalta completamente il modello di accesso iniziale. Cameron Curry, 27 anni, non avrebbe dovuto violare dall’esterno la rete di Brightly Software perché era stato assunto come data analyst contractor per circa sei mesi e disponeva già dell’accesso ai dati necessario per svolgere il proprio lavoro. Secondo il Dipartimento di Giustizia statunitense, Curry ha abusato dei propri privilegi per accedere a record del personale e altre informazioni aziendali sensibili e ha elaborato il piano estorsivo dopo avere appreso che il contratto non sarebbe stato rinnovato. Tra l’11 dicembre 2023 e il 24 gennaio 2024, utilizzando lo pseudonimo “Loot”, ha inviato oltre 60 email a dipendenti e dirigenti chiedendo 2,5 milioni di dollari in criptovalute e minacciando la pubblicazione delle informazioni sottratte. Il materiale utilizzato come prova del possesso dei dati comprendeva informazioni personali dei dipendenti, indirizzi, date di nascita e dati sulle retribuzioni. Brightly versò infine 7.540 dollari in Bitcoin a un wallet controllato dall’estorsore, cifra molto inferiore alla richiesta iniziale. La vicenda rappresenta un esempio quasi didattico di insider threat: credenziali valide, permessi legittimi e conoscenza dell’organizzazione riducono drasticamente gli ostacoli che un attaccante esterno dovrebbe invece superare. Non è un problema teorico neppure per il settore finanziario e crypto. Nell’aprile 2026 Matrice Digitale aveva raccontato il caso di due dipendenti infedeli accusati di utilizzare l’accesso a circa 2.000 account Kraken in un tentativo di estorsione, mentre sul versante italiano il caso degli accessi abusivi a Intesa Sanpaolo costati una sanzione da 31,8 milioni aveva mostrato un’altra variante dello stesso problema: quando il soggetto dispone già di privilegi autorizzati, la sicurezza deve distinguere l’uso legittimo dall’abuso e non semplicemente bloccare chi si presenta senza credenziali. Il processo contro Curry si è concluso ad agosto con 24 mesi di reclusione e un anno di libertà vigilata, dopo la condanna pronunciata da una giuria federale nel marzo 2026 per sei capi relativi a comunicazioni interstatali con finalità estorsive.

L’insider threat rende centrali privilegi e tracciamento degli accessi

La lezione tecnica del caso Brightly è diversa da quella della frode bancaria, ma altrettanto importante. Un’organizzazione può disporre di autenticazione multifattore, endpoint protetti e servizi non esposti a Internet senza riuscire comunque a fermare una persona che accede ai dati con un’identità autorizzata. La difesa richiede quindi least privilege, separazione dei ruoli, registrazione degli accessi, analisi delle anomalie, limitazione delle esportazioni massive e revoca immediata dei privilegi quando cambia il rapporto lavorativo. Nel caso Curry, secondo il DOJ, la posizione professionale gli aveva consentito di entrare in possesso delle informazioni poi utilizzate come leva estorsiva. Il fattore temporale è inoltre significativo: la campagna di minacce iniziò il giorno successivo alla conclusione del rapporto contrattuale. Gli insider rappresentano quindi una superficie che attraversa l’intero ciclo di vita dell’identità aziendale, dall’onboarding all’offboarding. Gli strumenti tecnici devono essere accompagnati dalla capacità di individuare comportamenti incompatibili con il ruolo dell’utente, soprattutto quando riguardano database HR, payroll, repository documentali o informazioni sensibili facilmente monetizzabili. Il modello dell’estorsione senza cifratura è ormai consolidato anche all’esterno delle aziende: Matrice Digitale ha seguito Clop nello sfruttamento di Windchill e FlexPLM per sottrarre direttamente progetti industriali, dimostrando come il possesso del dato possa essere sufficiente a creare pressione economica senza distribuire ransomware.

L’Ucraina chiude 94 call center e sequestra quasi 1.800 postazioni

La terza operazione porta la frode digitale fuori dai server e dentro strutture fisiche organizzate come vere aziende. La Polizia nazionale ucraina, insieme al servizio di sicurezza SBU, all’Ufficio del Procuratore generale e con la cooperazione della polizia tedesca, ha condotto 411 perquisizioni in diverse regioni del Paese, chiudendo 94 call center fraudolenti. La Cyberpolice ucraina riferisce che gli operatori si presentavano come funzionari bancari, broker e appartenenti alle forze dell’ordine, attirando le vittime verso piattaforme di investimento fasulle oppure tentando direttamente di ottenere accesso ai loro conti bancari. Le autorità hanno trovato 1.794 postazioni completamente attrezzate e notificato formalmente i sospetti a 26 persone.

L’inventario complessivo indicato dalla polizia comprende inoltre 3.336 dispositivi informatici, 1.346 telefoni, 5.200 SIM, 90 carte bancarie, accessi a 20 wallet di criptovalute e 22 veicoli, oltre a circa 2 milioni di dollari, 64.000 euro, valuta ucraina e un chilogrammo di oro tra lingotti e gioielli. La dimensione fisica dell’infrastruttura mostra come il social engineering su larga scala non sia necessariamente condotto da piccoli gruppi improvvisati: può assumere processi, turni, postazioni, script e specializzazioni paragonabili a quelli di un’organizzazione commerciale.

Falsi broker, falsi bancari e software remoto costruiscono la truffa

Le tecniche osservate nei call center non dipendono da un unico copione. Alcuni operatori telefonavano alle vittime fingendosi dipendenti bancari e segnalavano transazioni sospette inesistenti, minacciando il blocco del conto se non fosse stato effettuato un pagamento o completata una determinata procedura. Altri convincevano le persone a chiedere prestiti, comunicare dati delle carte oppure installare software di accesso remoto su computer e smartphone, trasferendo di fatto il controllo del dispositivo al truffatore.

Una parte dei call center si concentrava invece sui falsi investimenti, soprattutto contro cittadini di Paesi dell’Unione europea, con piattaforme di brokerage costruite per simulare rendimenti e convincere le vittime a versare somme progressivamente maggiori. Esisteva perfino il secondo livello della frode: persone che avevano già perso denaro venivano ricontattate con la promessa di recuperare quanto sottratto e truffate nuovamente. Altri gruppi vendevano prodotti presentandoli falsamente come trattamenti medici. Non è la prima volta che l’Ucraina compare come base per strutture di questo tipo. Matrice Digitale aveva documentato a maggio lo smantellamento da parte di Eurojust di call center a Kharkiv utilizzati per truffare soprattutto anziani europei, un precedente particolarmente vicino all’operazione attuale per organizzazione e targeting.

I call center trasformano il social engineering in una catena produttiva

Il termine “truffa telefonica” rischia di sottovalutare la complessità di queste strutture. Un call center fraudolento può separare lead generation, primo contatto, profilazione finanziaria, persuasione, assistenza tecnica, incasso e riciclaggio, assegnando ciascuna fase a operatori differenti. La Cyberpolice ucraina riferisce che alcune strutture disponevano di squadre dedicate proprio a individuare persone realmente interessate agli investimenti, aumentando la probabilità che la proposta fraudolenta incontrasse un bisogno preesistente.

In questo modello il software di remote access diventa uno strumento di conversione: dopo avere costruito fiducia al telefono, il falso operatore convince la vittima a concedere l’accesso al computer e può guidarla durante l’home banking, intercettare codici o manipolare direttamente operazioni finanziarie. È la stessa industrializzazione del social engineering visibile nelle campagne di phishing moderne, dove kit e infrastrutture separano sempre più l’operatore che acquisisce la vittima da chi monetizza l’accesso. Il quadro italiano offre numerosi paralleli: il CERT-AgID ha censito 395 campagne malevole in appena tre settimane di luglio, mentre il lavoro internazionale di contrasto coordinato attraverso EMPACT ha messo phishing, spoofing e frodi online tra le priorità investigative.

La frode digitale converge su accesso, fiducia e riciclaggio

I tre casi non condividono lo stesso malware, la stessa vulnerabilità o lo stesso gruppo criminale, ma descrivono con particolare chiarezza le tre risorse fondamentali della frode digitale contemporanea. Nel caso tedesco-brasiliano l’elemento decisivo è l’accesso tecnico ottenuto attraverso il fornitore; nell’estorsione Brightly è la fiducia concessa a un’identità interna; nei 94 call center ucraini è la fiducia costruita artificialmente attraverso la manipolazione della vittima. In tutti e tre i modelli, una volta ottenuta la possibilità di muovere denaro o impossessarsi di informazioni, entra in funzione una seconda infrastruttura fatta di conti di passaggio, carte, società, criptovalute, prestanome e operatori specializzati nella monetizzazione. È lo stesso motivo per cui le operazioni di polizia stanno sempre più colpendo non soltanto chi esegue materialmente l’attacco, ma anche money mule e strutture di riciclaggio. Il precedente di Black Axe smantellato in Spagna con 34 arresti per frode cibernetica e riciclaggio mostrava già questa convergenza tra social engineering, movimento dei fondi e criminalità organizzata. Il cybercrime finanziario del 2026 non è quindi soltanto una questione di exploit: è una filiera nella quale tecnologia, persone, processi finanziari e infrastrutture fisiche possono sostituirsi l’uno all’altro nel punto di accesso, ma devono necessariamente ricongiungersi quando arriva il momento di trasformare la frode in denaro utilizzabile.