Caso Equalize: Anatomia del più Grande Furto di Banche Dati nella Storia d'Italia — 800.000 Vittime, 52.811 Accessi Abusivi all'SDI, e Cosa Avrebbe Cambiato la NIS2

Il 9 aprile 2026, la Procura di Milano guidata da Marcello Viola ha chiuso il secondo grande filone dell'inchiesta Equalize, notificando avvisi di garanzia a 81 nuovi indagati e chiedendo il rinvio a giudizio per Enrico Pazzali, ex presidente di Fondazione Fiera Milano e titolare dell'agenzia investigativa al centro di quello che è ormai considerato il più grave caso di compromissione di banche dati pubbliche nella storia della Repubblica Italiana. Tra i nuovi indagati figurano nomi di primissimo piano: Leonardo Maria Del Vecchio (figlio del fondatore di Luxottica), Fulvio Pravadelli (ex manager Publitalia), Stefano Speroni (capo dell'ufficio legale ENI), il generale della Guardia di Finanza Cosimo Di Gesù, Giacomo Tortu. Tra le circa 650 vittime accertate ci sono Paolo Scaroni, Bobo Vieri, Selvaggia Lucarelli, Fabrizio Corona, Alex Britti — e, secondo i pubblici ministeri, anche il Presidente del Consiglio Giorgia Meloni.

Ma il vero scandalo non sono i nomi delle vittime. Il vero scandalo è il "come". Per oltre cinque anni — dal 2019 al marzo 2024 — un'associazione a delinquere strutturata ha avuto accesso continuativo, indisturbato e completo alle banche dati più sensibili dello Stato italiano: il Sistema d'Indagine (SDI) del Ministero dell'Interno, il database Serpico dell'Agenzia delle Entrate, l'Anagrafe Nazionale della Popolazione Residente (ANPR), gli archivi della Banca d'Italia. Hanno effettuato 52.811 accessi abusivi all'SDI e 108.805 violazioni di archivi giudiziari e amministrativi. Hanno profilato 800.000 cittadini italiani. Hanno generato oltre 3,1 milioni di euro di profitti illeciti. E lo hanno fatto da una stanza modesta dietro il Duomo di Milano, con un mix di malware, complicità interne e sfruttamento sistematico di vulnerabilità organizzative che la direttiva NIS2 — se fosse stata pienamente in vigore e applicata — avrebbe dovuto rendere impossibile.

Equalize Srl: Una Società di Business Intelligence con Accesso Illimitato

Equalize Srl era una società di business intelligence con sede a Milano, presentata al mercato come fornitrice di servizi legali di due diligence, indagini patrimoniali, analisi reputazionale per banche, multinazionali, studi legali. Sulla carta, un'attività perfettamente lecita. Nella realtà, secondo le accuse della Procura di Milano, un'organizzazione criminale strutturata con una "centrale di dossieraggio" capace di produrre, su richiesta del cliente e dietro pagamento, profili informativi completi su qualsiasi cittadino italiano, attingendo direttamente dai database più riservati dello Stato.

Al vertice c'era Carmine Gallo, ex dirigente della Polizia di Stato — un "supercop" con decenni di esperienza nelle indagini più delicate, comprese quelle antiterrorismo e antimafia. Gallo conosceva personalmente i sistemi informativi delle forze dell'ordine, le procedure di accesso, i meccanismi di audit, le persone che li gestivano. Il suo ruolo non era tecnico — era relazionale: apriva porte, costruiva fiducia, attivava complicità. Sopra di lui, la presidenza era di Enrico Pazzali, figura di primissimo piano dell'establishment milanese, presidente di Fondazione Fiera Milano. Sotto di lui, il braccio tecnico: Nunzio Samuele Calamucci, 44 anni, consulente IT con un passato di hacking, l'uomo che ha materialmente costruito l'infrastruttura di esfiltrazione dati e ha installato i Remote Access Trojan nei server del Ministero dell'Interno.

I Quattro Database Saccheggiati: Mappa del Disastro

Per capire la gravità del caso Equalize, bisogna capire cosa contengono i database compromessi. Non parliamo di liste di indirizzi email — parliamo del cuore informativo dello Stato italiano.

Il Sistema d'Indagine (SDI) del Ministero dell'Interno, istituito nel 1981, è l'archivio centrale di tutte le forze di polizia italiane. Contiene: precedenti penali, segnalazioni di pericolosità, querele, denunce, ordini di cattura, informative riservate, dati su passaporti e armi, schede di persone sotto sorveglianza, indagini in corso. È la memoria operativa delle forze dell'ordine. Ogni accesso dovrebbe essere tracciato, motivato, autorizzato. Equalize ha ottenuto accesso continuativo per cinque anni.

Serpico (Servizio per le Pubblicazioni e le Informazioni in Comune) è il database dell'Agenzia delle Entrate che integra dichiarazioni dei redditi, conti correnti, partite IVA, transazioni finanziarie sopra soglia, redditometro, accertamenti fiscali. È il sistema che permette al fisco italiano di sapere praticamente tutto sulla vita economica di ogni contribuente. Equalize lo usava per profilare la solvibilità e le fragilità finanziarie di vittime e bersagli — alcune query, secondo l'inchiesta, sarebbero state effettuate "su richiesta di Pazzali" tramite il generale Cosimo Di Gesù della Guardia di Finanza.

L'Anagrafe Nazionale della Popolazione Residente (ANPR) è il registro centralizzato di tutti i residenti in Italia: dati anagrafici, indirizzi, nuclei familiari, stato civile, cittadinanza. È il database fondazionale dell'identità civile italiana. E infine, gli archivi della Banca d'Italia, che contengono dati di vigilanza bancaria, segnalazioni sospette antiriciclaggio, esposizioni finanziarie di privati e aziende.

• SDI (Ministero Interno): 52.811 accessi abusivi documentati — precedenti penali, indagini, sorveglianze
• Serpico (Agenzia Entrate): query fiscali su contribuenti — redditi, conti, transazioni finanziarie
• ANPR (Anagrafe Nazionale): dati anagrafici di residenza — identità civile dei cittadini
• Banca d'Italia: vigilanza bancaria, segnalazioni antiriciclaggio, esposizioni finanziarie
• Archivi giudiziari e amministrativi: ulteriori 108.805 violazioni documentate

L'Architettura dell'Attacco: RAT, Insider e Aggregazione Centralizzata

Il modello operativo di Equalize era un ibrido sofisticato che combinava tre vettori distinti: malware tecnico, complicità interne (insider threat) e ingegnerizzazione di una piattaforma di aggregazione. Nessuno dei tre vettori da solo sarebbe stato sufficiente. Insieme, formavano un sistema di esfiltrazione dati praticamente invisibile.

Vettore 1: Il Remote Access Trojan nei Server del Viminale

Il primo vettore, il più tecnicamente avanzato, è stato l'installazione di un Remote Access Trojan (RAT) all'interno dei server del Ministero dell'Interno che ospitano l'SDI. Un RAT è un malware che fornisce all'attaccante il controllo remoto completo della macchina infetta — può eseguire comandi, esfiltrare file, prendere screenshot, registrare le sessioni utente, e — cosa cruciale — può farlo restando completamente sotto traccia, perché si comporta come un'applicazione legittima ai livelli più bassi del sistema operativo.

Nel caso specifico del Viminale, il RAT veniva utilizzato per scaricare interi blocchi di record dall'SDI senza generare i log di accesso che normalmente verrebbero prodotti da una query interattiva di un poliziotto autorizzato. Questo è il punto critico: mentre un agente che consulta l'SDI lascia tracce nei log centrali (chi, quando, perché, cosa ha cercato), un RAT che opera a livello sistemistico può aggirare interamente questo sistema di audit, copiando i dati direttamente dal database o dai filesystem in cui sono memorizzati. L'installazione del RAT, secondo le ricostruzioni della Procura, è stata facilitata dalla complicità di tecnici IT che avevano accesso fisico o remoto ai server del Ministero — il classico anello debole della catena.

Vettore 2: Insider Threat e la "Filiera della Fiducia"

Il secondo vettore, e probabilmente il più devastante, è stato l'insider threat strutturato. L'inchiesta ha documentato che diversi accessi alle banche dati venivano effettuati direttamente da personale delle forze dell'ordine — sia in servizio attivo che in pensione — che usava le proprie credenziali legittime per estrarre informazioni che poi giravano a Equalize dietro compenso. In altri casi, ufficiali della Guardia di Finanza, su "richiesta" di Pazzali, accedevano al database Serpico per acquisire dati riservati su società target.

Questa è la dinamica più insidiosa, perché tecnicamente non c'è "intrusione": le credenziali sono valide, l'accesso è autorizzato, la query rispetta i protocolli formali. Quello che manca è la "necessità di sapere" (need-to-know) e la legittimità della finalità. Un sistema di audit può tracciare chi accede, ma non può sapere se quella consultazione serve davvero a un'indagine ufficiale o se il dato verrà venduto a un'agenzia investigativa privata. La Procura ha potuto ricostruire questi accessi solo grazie a intercettazioni telefoniche e ambientali, non grazie ai sistemi di sicurezza informatica delle banche dati. E questo è il vero punto: i controlli informatici hanno completamente fallito.

Vettore 3: La Piattaforma di Aggregazione di Calamucci

Il terzo vettore, l'innovazione più "industriale" del sistema Equalize, è stata la creazione da parte di Calamucci di una piattaforma software di aggregazione dati che permetteva di interrogare in modo integrato i dati estratti da SDI, Serpico, ANPR e Banca d'Italia. In pratica, Calamucci ha costruito un "SDI privato" — un'interfaccia di ricerca centralizzata che, dato un nome o un codice fiscale, restituiva un dossier completo aggregando informazioni provenienti da tutte le fonti compromesse.

Questa piattaforma trasformava il furto di dati in un servizio scalabile. Non c'era bisogno di rifare l'attacco ogni volta che arrivava una nuova richiesta: il dato era già stato esfiltrato, indicizzato, organizzato. Un cliente di Equalize chiedeva un dossier su X, un operatore lanciava la query nella piattaforma, il dossier usciva in pochi minuti. Industrializzazione del crimine informatico applicata al settore dell'intelligence privata.

Il Modello di Business: Dossier su Commissione, Ricatti, Spionaggio Internazionale

Il modello di business di Equalize era articolato su tre flussi di ricavo. Il primo, e il più volume-intensivo, era il dossier su commissione: clienti privati — imprenditori, avvocati, ma anche manager di grandi aziende — pagavano somme variabili (da poche migliaia a decine di migliaia di euro) per profili informativi su controparti commerciali, soci, dipendenti, concorrenti, ex coniugi. Il dossier conteneva precedenti penali, situazione patrimoniale, abitudini, relazioni personali, indagini in corso.

Il secondo flusso era il ricatto e l'estorsione. Quando i dossier riguardavano personaggi pubblici con elementi compromettenti, l'organizzazione poteva utilizzare quelle informazioni come leva. La Procura ha documentato episodi in cui le informazioni venivano utilizzate per condizionare scelte politiche o imprenditoriali — esattamente il motivo per cui il caso è stato definito "una minaccia per la democrazia" dal Presidente del Consiglio Meloni, lei stessa tra le vittime accertate.

Il terzo flusso, e il più inquietante in chiave geopolitica, è stato lo spionaggio internazionale. Secondo le ricostruzioni emerse, agenti israeliani avrebbero offerto a Equalize 40.000 euro per informazioni sul gruppo Wagner russo e su attacchi cyber attribuibili a Mosca. La Procura di Milano ha esplicitamente citato "contatti con servizi segreti, anche stranieri" — il che significa che dati sensibili dei cittadini italiani, estratti illegalmente da banche dati pubbliche, sono potenzialmente finiti nelle mani di intelligence straniere. Anche il Vaticano è stato citato come potenziale committente di alcune indagini.

Perché Cinque Anni Senza Essere Scoperti? Il Fallimento dei Controlli

La domanda che ogni cittadino italiano dovrebbe porsi è: come è stato possibile che 52.811 accessi abusivi all'SDI siano passati inosservati per cinque anni? I sistemi informativi dello Stato dovrebbero avere log di audit, sistemi di rilevamento di anomalie, monitoraggio dei pattern di accesso. La risposta è una combinazione di fallimenti tecnici, organizzativi e culturali.

Tecnicamente, il RAT installato nei server del Viminale aggirava il sistema di logging applicativo — accedeva ai dati a un livello inferiore, dove i meccanismi di audit dell'SDI non avevano visibilità. Organizzativamente, i log esistenti non venivano analizzati con strumenti di User and Entity Behavior Analytics (UEBA) capaci di rilevare anomalie come "questo agente fa 200 query al giorno mentre la media dei colleghi è 15", oppure "questo accesso avviene alle 3 di notte di domenica". Culturalmente, l'idea che la minaccia potesse venire dall'interno — da poliziotti, finanzieri, tecnici IT della stessa amministrazione — era marginalizzata, perché il modello mentale dominante era quello dell'attaccante esterno.

Inoltre, i diversi database compromessi appartengono ad amministrazioni diverse (Interno, Entrate, Bankitalia) che non condividono i loro log di accesso e non hanno un sistema centralizzato di correlazione. Non c'era nessuna entità in grado di osservare che la stessa identità (un certo nome di persona) veniva consultata simultaneamente in SDI, Serpico e ANPR — un pattern che, se rilevato, avrebbe immediatamente fatto scattare allarmi. La frammentazione organizzativa dello Stato italiano è diventata, in questo caso, una vulnerabilità sistemica.

• Fallimento tecnico: RAT che operava sotto il livello di logging applicativo
• Fallimento UEBA: assenza di analisi comportamentale sui pattern di accesso
• Fallimento culturale: insider threat sottostimato rispetto alla minaccia esterna
• Fallimento di correlazione: nessun sistema cross-database per identificare query coordinate
• Fallimento di audit: log esistenti non analizzati né correlati con indagini autorizzate
• Fallimento del need-to-know: nessuna verifica della legittimità reale delle consultazioni

NIS2: Cosa Avrebbe Cambiato (e Cosa Cambierà) la Nuova Direttiva

Qui arriviamo al punto più importante per chi opera nella sicurezza informatica italiana. La direttiva NIS2 (2022/2555), recepita in Italia con il Decreto Legislativo 138/2024, è entrata in vigore proprio mentre il caso Equalize esplodeva pubblicamente. I termini chiave sono: notifiche entro gennaio 2026, misure tecniche e organizzative entro ottobre 2026. Per la prima volta nella storia italiana, anche le pubbliche amministrazioni centrali e regionali — incluso il Ministero dell'Interno, l'Agenzia delle Entrate e Banca d'Italia (per le componenti non escluse dalla normativa di sicurezza nazionale) — sono soggette a obblighi cogenti di cybersecurity, con sanzioni significative per il mancato adempimento.

Cosa avrebbe richiesto la NIS2, se fosse stata pienamente applicata prima del 2019? Almeno cinque cose, ognuna delle quali avrebbe potenzialmente fermato Equalize. Prima: gestione del rischio sistematica, con identificazione esplicita degli insider threat tra i rischi da mitigare. L'articolo 21 della direttiva impone misure tecniche e organizzative "adeguate e proporzionate" per gestire i rischi cyber, e le linee guida ENISA includono esplicitamente l'insider threat come rischio prioritario per le entità essenziali.

Seconda: sicurezza della supply chain. Il caso Equalize è anche un caso di compromissione della filiera fornitori IT — i tecnici che avevano accesso ai server del Viminale non erano necessariamente dipendenti del Ministero, ma potevano essere consulenti esterni. La NIS2 impone agli enti essenziali di valutare e gestire i rischi di sicurezza nelle relazioni con i fornitori, inclusi i fornitori di servizi gestiti e di sviluppo software. Una valutazione rigorosa avrebbe ridotto drasticamente la superficie di attacco insider.

Terza: monitoraggio continuo e gestione degli incidenti. La NIS2 richiede capacità di rilevamento e risposta agli incidenti, inclusi sistemi di logging, audit, e analisi comportamentale. Un sistema UEBA adeguato avrebbe rilevato i pattern anomali di accesso di Equalize. Quarta: notifica degli incidenti significativi all'ACN entro 24 ore (early warning) e 72 ore (notifica completa). Se i sistemi avessero rilevato anche solo un sospetto di compromissione, l'ACN sarebbe stata coinvolta — e le competenze di risposta nazionale avrebbero potuto smontare l'operazione molto prima del 2024.

Quinta, e forse la più importante: governance e responsabilità. La NIS2 introduce la responsabilità diretta degli organi di gestione delle entità essenziali per il rispetto degli obblighi di sicurezza. Non è più possibile delegare la cybersecurity al "reparto IT" e disinteressarsene: il vertice politico e amministrativo deve approvare le misure, deve essere formato sui rischi, deve rispondere personalmente in caso di violazioni. Questa è una rivoluzione culturale che, se applicata seriamente, avrebbe imposto livelli di attenzione molto diversi sui sistemi che gestiscono i dati di 60 milioni di cittadini italiani.

I Limiti della NIS2 nel Caso Equalize: Cosa la Direttiva NON Risolve

Sarebbe un errore presentare la NIS2 come la soluzione definitiva al problema. La direttiva è un passo necessario, ma non sufficiente. Ci sono almeno tre limiti che il caso Equalize evidenzia con brutale chiarezza.

Primo: la NIS2 prevede esplicite esclusioni per le entità che operano in ambiti di sicurezza nazionale, ordine pubblico, difesa, magistratura, parlamento e banche centrali. Il Sistema d'Indagine del Ministero dell'Interno potrebbe ricadere parzialmente in queste esclusioni — proprio i sistemi più sensibili, paradossalmente, potrebbero essere quelli meno coperti dagli obblighi NIS2 standard. Servono normative parallele, e una governance nazionale che non lasci aree grigie.

Secondo: la NIS2 si concentra sulla gestione del rischio e sulla resilienza degli incidenti, ma non risolve il problema della complicità interna istituzionale. Se un generale della Guardia di Finanza o un dirigente di polizia decide di abusare dei propri poteri di accesso, nessun sistema tecnico può fermarlo completamente. Servono controlli organizzativi, codici etici, audit indipendenti, separazione dei compiti — strumenti che esistono nel diritto amministrativo italiano ma che evidentemente non sono stati applicati con sufficiente rigore.

Terzo: la NIS2 ha tempi di adeguamento lunghi (ottobre 2026 per le misure tecniche), e le pubbliche amministrazioni italiane sono storicamente lente nell'implementare requisiti tecnici complessi. C'è il rischio concreto che molte entità del perimetro arrivino alla scadenza con adempimenti formali ma non sostanziali — la classica trappola della "compliance teatrale" che produce documentazione ma non riduce realmente il rischio.

Le Lezioni Operative per Aziende ed Enti Italiani

Il caso Equalize, al di là del clamore mediatico, lascia lezioni concrete che ogni organizzazione italiana — pubblica o privata, dentro o fuori dal perimetro NIS2 — dovrebbe interiorizzare immediatamente.

1. 1.Trattare l'insider threat come rischio di pari livello rispetto alla minaccia esterna. Il dipendente, il consulente, il fornitore con accesso privilegiato è statisticamente uno degli attori di compromissione più probabili. Ogni programma di sicurezza deve includere misure specifiche di rilevamento, mitigazione e risposta.
2. 2.Implementare User and Entity Behavior Analytics (UEBA) sui sistemi che gestiscono dati sensibili. Non basta loggare gli accessi: i log devono essere correlati con baseline comportamentali e pattern di anomalia. Un volume di query anomalo, accessi fuori orario, query su soggetti non correlati al lavoro dell'utente devono generare alert automatici.
3. 3.Applicare rigorosamente il principio del minimo privilegio e del need-to-know. Nessun utente dovrebbe avere accesso a database o record che non sono strettamente necessari al suo lavoro. Le revisioni periodiche dei privilegi di accesso non sono burocrazia — sono difesa attiva.
4. 4.Audit indipendenti delle banche dati critiche con cadenza almeno annuale, condotti da soggetti esterni alla struttura IT che gestisce il sistema. Gli audit devono includere test di penetrazione, analisi dei log storici, verifica della tracciabilità degli accessi.
5. 5.Monitoraggio della supply chain IT. Ogni consulente, manutentore, fornitore di software con accesso a sistemi critici deve essere identificato, il suo accesso deve essere tracciato, e il rischio derivante dalla sua relazione contrattuale deve essere valutato esplicitamente.
6. 6.Segregazione dei sistemi sensibili dalla rete generale, con jump box dedicati, autenticazione multifattore obbligatoria, sessioni registrate (session recording) per le attività amministrative.
7. 7.Cultura della sicurezza al vertice. La NIS2 impone responsabilità agli organi di gestione: questa non deve essere vista come una minaccia legale, ma come l'occasione per portare la sicurezza al centro delle scelte strategiche. Un consiglio di amministrazione che capisce i rischi cyber prende decisioni diverse rispetto a uno che li delega.
8. 8.Cooperazione con ACN e CSIRT Italia. Il sistema nazionale di cybersecurity esiste e funziona — ACN ha capacità di supporto, threat intelligence, response. Ogni entità essenziale o importante dovrebbe stabilire canali operativi prima che serva un'emergenza.

Implicazioni Geopolitiche e di Sicurezza Nazionale

Il caso Equalize non è solo una storia di criminalità organizzata applicata al cybercrime. È un caso di sicurezza nazionale di prima grandezza. Per cinque anni, dati che riguardano cittadini, imprese, politici italiani sono stati estratti dalle banche dati dello Stato e venduti al miglior offerente — incluse, secondo le accuse, intelligence straniere. Le implicazioni sono profonde.

Per la politica: il rischio di ricatto e condizionamento di figure pubbliche è documentato e concreto. Per l'economia: la due diligence "vera" su un imprenditore italiano oggi può essere fatta da chiunque abbia abbastanza soldi per comprarla, e l'asimmetria informativa che ne deriva distorce i mercati. Per la diplomazia: se intelligence straniere hanno acquistato dati raccolti illegalmente in Italia, questo modifica gli equilibri di forza nelle relazioni bilaterali in modi che il governo italiano potrebbe nemmeno conoscere completamente. Per la magistratura: l'integrità delle indagini in corso è potenzialmente compromessa quando dati riservati su persone sotto inchiesta possono essere venduti.

L'investigation Equalize, ancora in corso, è destinata a produrre processi lunghi e politicamente esplosivi. Ma la lezione strutturale è già chiara: lo Stato italiano ha gestito le proprie banche dati più sensibili con un livello di rigore tecnico insufficiente per cinque anni, e ne è venuto a conoscenza solo grazie a intercettazioni telefoniche di un'inchiesta antimafia. Senza quelle intercettazioni, Equalize starebbe ancora operando.

Conclusione: Un Wake-Up Call che Non Possiamo Permetterci di Ignorare

Il caso Equalize è la fotografia, brutale e inequivocabile, di tutto quello che non funziona nella cybersecurity istituzionale italiana: insider threat sottostimato, fornitori IT non controllati, log che nessuno analizza, frammentazione organizzativa, cultura della sicurezza assente al vertice, separazione dei poteri formale ma non sostanziale. Ogni singola di queste vulnerabilità è risolvibile. Nessuna richiede tecnologia esotica. Tutte richiedono volontà politica, investimento serio, e una radicale revisione di come lo Stato pensa la propria sicurezza informatica.

La direttiva NIS2 offre un framework per affrontare strutturalmente il problema. Le sanzioni fino a 10 milioni di euro o al 2% del fatturato per le entità essenziali sono uno strumento di pressione potente. Ma la NIS2 è un'opportunità solo se viene implementata sostanzialmente, non burocraticamente. Il rischio reale è che, dopo lo scandalo, ci si limiti a produrre policy, manuali, certificazioni — e che l'SDI continui a essere accessibile a chi sa come aggirare i controlli, semplicemente perché controllare davvero richiede investimenti che nessuno vuole fare.

Per le aziende private, e in particolare per quelle che rientrano nel perimetro NIS2 come entità essenziali o importanti, il caso Equalize è un wake-up call: i vostri dati più sensibili, i vostri segreti commerciali, le vostre comunicazioni interne, sono potenzialmente esposti agli stessi vettori di attacco. Insider compromessi, fornitori IT non controllati, log non monitorati, consulenti con accessi privilegiati. La difesa inizia dal riconoscere che il modello "attaccante esterno con phishing" è solo una parte minoritaria del rischio reale. Il resto è dentro casa.