Come le organizzazioni criminali si infiltrano tra i fornitori digitali (e come difendersi)

Se è assodato che le mafie ricorrono alla creazione di aziende legali da utilizzare come copertura per le attività cyber-criminali, più latenti sono invece le loro abilità di infiltrazione dentro società informatiche e di telecomunicazioni legittime per sfruttarle come strumento per l’accesso privilegiato a infrastrutture e dati riservati che possono facilitare le loro attività illecite come riciclaggio, spionaggio industriale, sabotaggi, estorsioni tramite ransomware, ed altre frodi informatiche.

Tra i vari escamotage per posizionarsi strategicamente in ecosistemi digitali rilevanti, un obiettivo delle cyber mafie è quello di acquisire credibilità nel settore tecnologico per instaurare partnership o proporsi come fornitori di servizi ad aziende particolarmente appetibili, come società di consulenza IT, software house, provider di servizi cloud, e agenzie di marketing digitale.

Un aspetto di particolare rilievo dell’evoluzione delle organizzazioni mafiose italiane, non riguarda solo l’ingaggio dei migliori hacker sul mercato, ma anche quello di giovani professionisti discendenti di famiglie già affiliate, i quali vengono formati per acquisire elevate skill informatiche, così da garantire la loro fedele aderenza ai codici comportamentali che caratterizzano le organizzazioni di appartenenza.

Può così accadere che aziende in cerca di fornitori di servizi informatici a cui affidare commesse o appalti si mettano inconsapevolmente in casa propria dei “mafiosi digitali” controllati da organizzazioni criminali, a cui danno incautamente fiducia per gestire i loro dati, senza però sapere cosa si nasconde realmente dietro una facciata apparentemente impeccabile.

Di fronte a questi stratagemmi che le cyber mafie attuano per infiltrarsi subdolamente in aziende di settori strategici per mettere le mani su informazioni privilegiate e dati sensibili, le aziende devono quindi adoperarsi per selezionare fornitori e partner veramente affidabili, dotandosi di una scrupolosa procedura di qualifica che preveda non solo la verifica della loro solidità tecnologica, ma anche quella della loro reputazione sul mercato, soppesando ogni eventuale campanello d’allarme.

A quanto pare, c’è però ancora molta strada da fare, perché il “Global Third-Party Risk Management Survey 2026 di KPMG” evidenzia che il 79% delle imprese segnala difficoltà nel valutare l’affidabilità dei nuovi fornitori, e solo il 18% delle organizzazioni dispone di un processo di gestione e qualifica dei fornitori completamente integrato nelle procedure aziendali, mentre il 53% è ancora work in progress con un’integrazione solo parziale.

Tra i fattori che dovrebbero destare maggiori sospetti sulla valutazione del potenziale fornitore, vi sono assetti proprietari opachi con ricorso a prestanomi di facciata o società con frequenti cambi di quote societarie, partecipazioni detenute tramite società estere o catene societarie difficili da ricostruire, e strutture organizzative poco coerenti con fatturati elevati ma al contempo costi del personale stranamente bassi per settori che richiedono elevate specializzazioni. Naturalmente la reputazione degli amministratori e dei soci è uno degli indicatori più immediati: eventuali precedenti giudiziari, interdittive antimafia, collegamenti con imprese coinvolte in indagini o fallimenti sospetti rappresentano elementi pregiudizievoli su cui non si può chiudere un occhio. A far drizzare le antenne dovrebbero essere anche offerte commerciali con prezzi insolitamente più bassi rispetto ai competitor, segnali che potrebbero nascondere fonti di finanziamento anomale o strategie aggressive finalizzate a conquistare rapidamente quote di mercato.

Per tutelarsi contro le infiltrazioni delle cyber mafie, le imprese devono pertanto essere in grado di passare ai “raggi X” potenziali fornitori strategici come quelli che gestiscono dati o accedono a know-how aziendale, avvalendosi di ogni strumento di verifica disponibile, tra cui indagini di due diligence, attività di intelligence, acquisizione di visure camerali, informazioni commerciali, bilanci e rapporti di stabilità finanziaria, verifica dei titolari effettivi, presenza di contenziosi legali che potrebbero indicare comportamenti rischiosi o disonesti, oltre al costante monitoraggio reputazionale sui media per conoscere eventuali notizie negative riguardanti l’azienda o i suoi esponenti, e ove possibile, anche l’acquisizione di informativa antimafia per sincerarsi della limpidità dei soggetti candidati.

(*) presidente di Federprivacy