Indice dei contenuti
- Cos’è la cyber mafia
- Caratteristiche distintive della cyber mafia
- Come è strutturata la cyber mafia
- Perché alla mafia conviene operare nel cyberspazio
- Principali attività criminali nel cyberspazio
- La cooperazione internazionale
- Il nuovo Regolamento Antiriciclaggio dell’UE
La criminalità organizzata si è evoluta, adattandosi alle nuove frontiere digitali. Non si tratta più soltanto di traffico di droga o estorsioni, ma anche di attacchi informatici, frodi digitali e riciclaggio attraverso criptovalute.
In questo articolo approfondiamo il fenomeno della cyber mafia, analizzando le sue caratteristiche, la struttura operativa, le principali attività criminali nel cyberspazio, e le risposte messe in campo dal sistema italiano e dalle istituzioni europee, con un focus sul nuovo Regolamento Antiriciclaggio dell’UE.
Cos’è la cyber mafia
La cyber mafia è la nuova frontiera della criminalità organizzata, un insieme di gruppi mafiosi tradizionali e nuove organizzazioni criminali che operano principalmente attraverso strumenti digitali e reti informatiche. Si distingue per l’impiego di tecnologie avanzate e per la capacità di agire in maniera invisibile, oltre i confini nazionali.
Non si tratta solo di criminali informatici indipendenti, ma di vere e proprie reti connesse al crimine organizzato classico.
Questi gruppi sfruttano le potenzialità della rete per realizzare profitti elevati con rischi relativamente bassi, approfittando dell’anonimato garantito da internet e dalla dark web.
Caratteristiche distintive della cyber mafia
La cyber mafia è un fenomeno in rapida evoluzione che, pur mantenendo alcune dinamiche del crimine organizzato tradizionale, ha sviluppato nuove modalità operative grazie alla tecnologia.
Ogni sua caratteristica distintiva rappresenta un tassello fondamentale della sua capacità di eludere i controlli e massimizzare i profitti. Vediamole in dettaglio.
Anonimato e decentralizzazione
Uno degli elementi cardine della cyber mafia è la capacità di operare nell’ombra, sfruttando strumenti tecnologici avanzati per nascondere la propria identità.
L’uso di reti private virtuali (VPN), browser come Tor, sistemi di messaggistica criptata come Telegram e Signal, oltre a criptovalute come Bitcoin e Monero, consente ai criminali di aggirare sorveglianza e tracciamenti.
Esempio
Silk Road, il marketplace illegale nel dark web smantellato nel 2013. Operava come un vero e proprio e-commerce per droghe, armi e documenti falsi, con un sistema di pagamenti in Bitcoin.
I suoi operatori non si sono mai incontrati di persona, né hanno lasciato tracce identificabili, dimostrando come la decentralizzazione renda queste strutture molto più difficili da disarticolare rispetto alle mafie territoriali classiche.
Competenze tecniche elevate
I gruppi di cyber mafia si avvalgono di figure altamente specializzate, come ethical hacker reclutati nel dark web, programmatori di malware e ransomware, ma anche insider infiltrati in aziende e istituzioni, capaci di fornire accessi privilegiati a reti interne o dati sensibili.
Nel caso dell’attacco al sistema sanitario irlandese nel 2021, il gruppo ransomware Conti, legato a strutture criminali dell’Europa dell’Est, ha infettato i sistemi IT bloccando l’intera infrastruttura ospedaliera nazionale. Un’operazione complessa, che ha richiesto competenze avanzate di penetrazione informatica, crittografia dei dati e negoziazione del riscatto.
Questi criminali operano come vere e proprie startup del crimine, con reparti specializzati in sviluppo software, assistenza tecnica, e customer care per la gestione dei riscatti in Bitcoin.
Transnazionalità
A differenza delle mafie tradizionali, ancorate spesso a un territorio, la cyber mafia è senza confini. Può operare da un server in Russia, colpire aziende in Germania e riciclare i proventi in Singapore o attraverso exchange decentralizzati con sede alle Isole Vergini.
Un caso paradigmatico è REvil, gruppo ransomware con base nell’Europa orientale, che ha colpito nel 2021 l’azienda americana Kaseya, compromettendo i sistemi di oltre 1.500 imprese in tutto il mondo.
L’attacco è stato lanciato durante un fine settimana, sfruttando il fuso orario per ritardare la reazione dei team di sicurezza. Il riscatto richiesto? 70 milioni di dollari in criptovaluta.
Questa capacità di agire su scala globale, senza limiti fisici, rappresenta una delle sfide più complesse per le forze dell’ordine internazionali.
Collaborazione con attori statali
In alcuni casi, la linea tra cyber mafia e spionaggio di Stato diventa sfumata. Alcuni gruppi criminali agiscono con la tacita approvazione o il sostegno diretto di governi autoritari, in cambio di accesso a risorse o informazioni sensibili.
Il gruppo APT28 (Fancy Bear), collegato all’intelligence militare russa (GRU), è stato coinvolto in numerosi attacchi informatici, tra cui l’hackeraggio dei server del Partito Democratico statunitense nel 2016.
Sebbene l’obiettivo fosse politico, il modus operandi e le strutture operative ricordano quelle della cyber mafia, con sistemi di affiliazione, riciclaggio e strumenti condivisi con il crimine organizzato.
Anche la Cina è stata accusata di sponsorizzare gruppi come APT41, attivi sia in operazioni di spionaggio industriale, sia in attività criminali a scopo di lucro.
Queste ibridazioni rendono il fenomeno ancora più insidioso e difficile da inquadrare giuridicamente.
Mimetizzazione nel mercato legale
Una delle strategie più subdole adottate dalla cyber mafia è la capacità di confondersi con imprese legittime, sfruttando il mondo del commercio elettronico, del gioco d’azzardo online e dei servizi finanziari digitali per riciclare denaro sporco o coprire attività illegali.
Nel 2020, le autorità italiane hanno scoperto un sistema di riciclaggio collegato alla ‘ndrangheta attraverso un portale di scommesse online apparentemente regolare. I flussi di denaro, suddivisi in piccole transazioni, venivano gestiti da una rete di server offshore e transitavano da wallet criptovalutari prima di rientrare nei circuiti finanziari puliti.
Un altro settore ad alto rischio è quello delle ICO (Initial Coin Offering), dove startup fittizie raccolgono fondi in criptovalute da investitori ignari, per poi far sparire tutto senza lasciare tracce.
Questo tipo di infiltrazione nei mercati legali rappresenta una forma di “lavaggio reputazionale” che consente alla cyber mafia di operare indisturbata, spesso sotto l’apparenza di startup, fintech o agenzie di marketing.
Come è strutturata la cyber mafia
A differenza delle mafie tradizionali, fondate su gerarchie rigide e controllo del territorio, la cyber mafia adotta una struttura modulare e fluida, simile a quella di una multinazionale decentralizzata.
Le sue “divisioni” sono composte da cellule operative altamente specializzate, spesso dislocate in paesi diversi, che comunicano attraverso canali criptati e si coordinano solo quando necessario.
Questa struttura ibrida la rende estremamente resiliente: può riorganizzarsi rapidamente in seguito a un arresto, una fuga di notizie o un’indagine, garantendo continuità alle operazioni criminali.
Il core tecnologico
Il cuore pulsante della cyber mafia è il suo team tecnologico, composto da:
- sviluppatori di malware e ransomware, spesso reclutati in forum del dark web o da reti underground come Exploit.in e RaidForums;
- esperti di social engineering e phishing, capaci di manipolare psicologicamente le vittime per ottenere credenziali;
- sistemisti e ingegneri di rete, incaricati di creare e mantenere l’infrastruttura criminale (server, botnet, tunnel criptati);
- data analyst e specialisti OSINT, che profilano le vittime analizzando dati pubblici e privati per massimizzare l’efficacia degli attacchi.
Un caso rilevante è quello del gruppo Lazarus, collegato alla Corea del Nord, che dispone di un team altamente qualificato per attacchi mirati contro banche centrali (come nel furto da 81 milioni di dollari alla Banca del Bangladesh nel 2016), agendo attraverso malware sofisticati come FastCash.
Il livello logistico
Accanto al team tecnico opera una rete logistica, con compiti ben precisi:
- gestione dei pagamenti (in particolare riscatti in criptovalute o transazioni tramite mixer);
- acquisto e gestione di server, VPN, domini e strumenti di attacco;
- coordinamento del reclutamento, spesso attraverso annunci nei forum underground, con veri e propri sistemi di affiliazione (come accade nei modelli RaaS: ransomware-as-a-service);
- gestione dei mule, ovvero individui pagati per spostare denaro tra conti e piattaforme crypto.
Esempio concreto
Il modello operativo di LockBit, una gang ransomware che, come in una “franchising criminale”, affida a cellule affiliate il compito di lanciare attacchi, mentre il gruppo madre fornisce l’infrastruttura, il supporto tecnico e riceve una percentuale dei riscatti.
I colletti bianchi
La cyber mafia moderna ha capito che l’anello più importante nella catena è quello dei colletti bianchi: professionisti del settore finanziario, legale, informatico o imprenditoriale che agiscono da facilitatori.
Queste figure servono per:
- aprire aziende di copertura in giurisdizioni offshore o in settori ad alto rischio di riciclaggio (criptovalute, giochi online, immobiliare);
- intermediare transazioni bancarie o crypto, nascondendo la provenienza dei fondi;
- gestire portafogli digitali o scambi attraverso exchange decentralizzati (DEX) e mixer come Tornado Cash;
- aggirare normative AML/CFT (Anti-Money Laundering / Countering Financing of Terrorism) con documentazione fittizia.
Nel 2022, un’indagine dell’Europol ha smantellato una rete internazionale di riciclaggio che coinvolgeva legali e consulenti fiscali, utilizzati per ripulire i proventi di attacchi ransomware e frodi bancarie. Questa zona grigia tra legalità e crimine è oggi uno degli aspetti più pericolosi e difficili da intercettare.
I gruppi armati o fisici
Nonostante la predominanza della componente digitale, in alcuni contesti la cyber mafia mantiene una presenza fisica, utile nei casi in cui l’attività richiede minacce, coercizione o estorsione.
Questo accade in scenari di estorsione ibrida, dove un attacco informatico è accompagnato da intimidazioni reali per forzare il pagamento o impedire la denuncia.
Ad esempio:
- un’azienda colpita da ransomware potrebbe ricevere una visita “casuale” da emissari mafiosi che “offrono aiuto” nella negoziazione o nel pagamento;
- in contesti locali, soprattutto nel sud Italia o in Europa dell’Est, la mafia digitale e quella tradizionale collaborano per estorcere denaro a imprenditori, sfruttando sia il web che la forza sul territorio.
È accaduto in Sicilia, dove alcune famiglie legate a Cosa Nostra hanno iniziato a usare malware di tipo spyware per controllare i dispositivi di imprenditori locali, facilitando successivamente richieste estorsive “tradizionali”.
Una struttura fluida e adattiva
Questa modularità è ciò che rende la cyber mafia così difficile da smantellare. Le sue componenti possono lavorare in totale autonomia, conoscendo solo parte della rete, secondo un modello cellulare simile a quello delle organizzazioni terroristiche.
Quando una cellula viene scoperta o compromessa, può essere sostituita in tempi rapidi, senza compromettere l’intera organizzazione.
Questo vale anche per i malware e gli strumenti usati: la maggior parte dei gruppi ha già pronte versioni aggiornate, infrastrutture parallele e backup distribuiti, pronti all’uso in caso di sequestro o takedown.
Perché alla mafia conviene operare nel cyberspazio
Il cyberspazio offre alla criminalità organizzata numerosi vantaggi strategici. Prima di tutto, riduce i rischi operativi: è meno pericoloso agire da remoto rispetto a gestire traffici fisici o estorsioni di persona. Inoltre, garantisce:
- Profitti elevati
Un singolo attacco ransomware può fruttare milioni. - Tempi rapidi
Operazioni che un tempo richiedevano mesi, oggi avvengono in poche ore. - Minore visibilità
I reati informatici sono spesso meno evidenti e meno perseguiti rispetto a quelli tradizionali. - Difficoltà investigative
La natura transfrontaliera e l’uso di strumenti crittografati rendono complicata la raccolta di prove.
Il crimine informatico è diventato quindi un canale privilegiato per la mafia 4.0, che ha saputo riconvertirsi alle logiche del digitale.
Principali attività criminali nel cyberspazio
La cyber mafia ha ampliato il suo raggio d’azione sfruttando il potenziale tecnologico del web per sviluppare nuove forme di crimine organizzato, molto più difficili da rilevare e contrastare rispetto a quelle tradizionali. Le attività sono in costante mutazione, favorite dall’anonimato della rete, dalla facilità di accesso a strumenti sofisticati e dalla globalizzazione dei mercati digitali.
Ransomware-as-a-service (RaaS)
Uno dei modelli più redditizi per le cyber mafie è quello del Ransomware-as-a-Service (RaaS). In questo schema, gruppi criminali altamente organizzati, come Conti, LockBit o BlackCat (ALPHV), sviluppano e forniscono piattaforme ransomware pronte all’uso, che possono essere “noleggiate” da affiliati o clienti terzi.
Chiunque, anche senza competenze tecniche, può lanciare attacchi devastanti contro aziende, ospedali o istituzioni pubbliche, versando una percentuale dei riscatti agli sviluppatori della piattaforma.
Un caso emblematico è l’attacco del 2021 contro Colonial Pipeline negli Stati Uniti, rivendicato da DarkSide, gruppo che operava con modalità RaaS.
Il blocco delle forniture di carburante a gran parte della costa est americana ha messo in evidenza quanto il ransomware possa avere impatti non solo economici, ma anche infrastrutturali e geopolitici.
Phishing e furto d’identità
Il furto d’identità attraverso il phishing è una delle attività più pervasive nel mondo del crimine digitale. La cyber mafia organizza campagne massive, inviate tramite email, SMS o messaggistica istantanea, con l’obiettivo di sottrarre:
- credenziali bancarie;
- dati sanitari e fiscali;
- codici di accesso a wallet crypto;
- profili social e aziendali.
Nel 2023, l’Italia è stata colpita da una campagna phishing a firma “INE Bank”, che simulava comunicazioni della Banca Intesa per rubare codici OTP e accessi home banking. Secondo il Rapporto Clusit, il phishing rappresenta ancora la prima modalità d’attacco in Italia, con una crescita del 61% in due anni.
Spesso i dati sottratti vengono poi rivenduti nei data market del dark web, generando ulteriori guadagni e facilitando nuove frodi.
Riciclaggio tramite criptovalute
Il riciclaggio di denaro è una delle attività cardine della cyber mafia, e le criptovalute ne rappresentano oggi lo strumento ideale. Valute come Bitcoin, Monero o Zcash, grazie alla pseudonimità o all’anonimato che offrono, permettono di spostare enormi capitali in modo non tracciabile.
I fondi provenienti da attività illecite (ransomware, truffe, traffici illegali) vengono:
- suddivisi in microtransazioni;
- fatti transitare su mixer o tumbler (come Tornado Cash o Blender.io);
- convertiti in stablecoin (come USDT o DAI);
- reinvestiti in beni, NFT o immobili tramite aziende di copertura.
Nel 2022, il Tesoro americano ha sanzionato Blender.io, piattaforma usata dal gruppo Lazarus per riciclare parte dei 620 milioni di dollari rubati all’exchange crypto Ronin Network, legato al videogioco Axie Infinity.
Truffe online e frodi digitali
Le frode online sono diventate una delle attività più redditizie per le cyber mafie, grazie alla facilità con cui è possibile ingannare utenti poco esperti e all’ampiezza dei canali a disposizione. Le forme più comuni includono:
- investimenti truffa su criptovalute o trading fasullo;
- e-commerce finti che promettono prodotti mai spediti;
- truffe romantiche, in cui l’estorsione avviene tramite manipolazione emotiva;
- falsi call center che simulano supporto tecnico per ottenere accesso remoto ai dispositivi.
Secondo uno studio di Europol, le truffe finanziarie rappresentano oggi una delle fonti principali di finanziamento per le mafie digitali, spesso gestite da network italo-rumeni, balcanici o nigeriani, con ramificazioni in tutta Europa.
Dark web market
Il dark web è il principale punto d’incontro per la compravendita di beni e servizi illegali. Le cyber mafie gestiscono o partecipano attivamente a marketplace digitali in cui si vendono:
- droghe sintetiche e naturali;
- armi da fuoco e materiali esplosivi;
- documenti falsi, passaporti e patenti;
- dati rubati, come numeri di carte di credito, credenziali di accesso, identità complete.
Un caso emblematico è Hydra Market, il più grande mercato illegale in lingua russa, smantellato nel 2022 grazie a una cooperazione internazionale tra Germania e Stati Uniti. Al momento della chiusura, contava oltre 17 milioni di utenti registrati e un volume di transazioni stimato in oltre 1 miliardo di euro l’anno, gran parte dei quali riciclati in Bitcoin.
Anche la ‘ndrangheta, secondo il rapporto della DIA (Direzione Investigativa Antimafia), ha iniziato a sfruttare il dark web per la gestione di traffici di droga e armi, sfruttando criptovalute e canali sicuri per aggirare i controlli doganali e finanziari.
Le mafie tradizionali nel cyberspazio
Gruppi mafiosi storici, come la mafia russa, la triade cinese, la ‘ndrangheta o la mafia nigeriana, si sono rapidamente adattati al contesto digitale. Non solo utilizzano strumenti informatici per potenziare le attività tradizionali, ma hanno anche creato rami specializzati nel crimine informatico, in collaborazione con hacker e operatori del dark web.
Nel caso della ‘ndrangheta, ad esempio, alcune operazioni coordinate dalla Guardia di Finanza hanno evidenziato l’uso di cryptowallet anonimi e exchange decentralizzati per gestire i proventi del traffico di cocaina, con fondi che venivano poi trasferiti su conti societari in America Latina, reinvestiti nel settore immobiliare e nelle scommesse online.
’Italia, storicamente impegnata nella lotta alla criminalità organizzata, ha compreso tempestivamente l’urgenza di rafforzare i propri strumenti anche nel dominio digitale, dove le mafie tradizionali e i nuovi attori criminali operano con crescente disinvoltura.
Il sistema italiano di contrasto al riciclaggio digitale si è quindi evoluto su più livelli: istituzionale, normativo e operativo.
Unità di Informazione Finanziaria per l’Italia (UIF)
Il centro nevralgico del sistema è rappresentato dalla UIF, un organismo indipendente istituito presso la Banca d’Italia, incaricato di ricevere, analizzare e trasmettere le segnalazioni di operazioni sospette (SOS) relative al riciclaggio e al finanziamento del terrorismo.
Negli ultimi anni, la UIF ha ampliato il proprio focus anche verso le transazioni in criptovalute, collaborando con l’Organismo Agenti e Mediatori (OAM), che gestisce il registro dei provider di servizi crypto (VASPs – Virtual Asset Service Providers). Questi soggetti sono tenuti a comunicare regolarmente:
- i volumi di scambio;
- la provenienza dei fondi;
- i dati identificativi dei clienti.
Nel solo 2022, la UIF ha ricevuto oltre 155.000 SOS, con una crescita del +11% rispetto all’anno precedente. Una parte rilevante di queste segnalazioni riguarda movimenti riconducibili a wallet crypto anonimi, piattaforme offshore o schemi di investimento sospetti.
Guardia di Finanza
La Guardia di Finanza svolge un ruolo essenziale sia in ambito investigativo sia repressivo. Dotata di unità specializzate in cybercrime finanziario, l’arma collabora strettamente con la UIF per tracciare i flussi illeciti, individuare società di comodo e sequestrare wallet digitali.
Tra le operazioni più rilevanti c’è “Crypto Wash”, condotta nel 2023 tra Italia e Spagna, che ha portato al sequestro di oltre 5 milioni di euro in criptovalute e alla denuncia di 12 soggetti coinvolti in una rete di riciclaggio transfrontaliera operante su exchange non regolamentati.
La GdF ha anche avviato un percorso di addestramento specifico per l’analisi blockchain e la deanonimizzazione dei wallet, utilizzando software come Chainalysis e CipherTrace.
CNAIPIC e sicurezza delle infrastrutture
Il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC), operativo all’interno del Servizio Polizia Postale e delle Comunicazioni, si occupa delle minacce informatiche più gravi, con particolare attenzione ai settori strategici: energia, trasporti, sanità, finanza e comunicazioni.
In diversi casi, il CNAIPIC ha collaborato a indagini sul ransomware e sul traffico di dati rubati, come nell’operazione “Deep Cyber” del 2021, che ha portato allo smantellamento di una rete specializzata nella vendita di dati sanitari italiani su forum underground.
Il CNAIPIC è anche punto di contatto per la cooperazione internazionale con Europol, Interpol e i CERT europei, elemento essenziale per il contrasto a minacce che spesso provengono dall’estero.
Procura Nazionale Antimafia e Antiterrorismo
Nel contesto del crimine organizzato digitale, la Procura Nazionale Antimafia e Antiterrorismo (PNAA) ha assunto un ruolo di coordinamento sempre più centrale. L’ente ha istituito una cabina di regia sul cybercrime mafioso, con il compito di:
- armonizzare le indagini tra procure distrettuali;
- raccogliere evidenze su reati finanziari digitali riconducibili a clan mafiosi;
- promuovere l’uso della cooperazione giudiziaria europea tramite Eurojust.
Secondo il Rapporto della Direzione Nazionale Antimafia 2023, cresce il numero di indagini in cui wallet crypto e operazioni digitali sono usati come strumento per il reimpiego del denaro proveniente da traffici tradizionali (droga, armi, prostituzione).
La cooperazione internazionale
Poiché il crimine informatico non conosce confini, la cooperazione internazionale è fondamentale. L’Italia partecipa a diversi organismi e task force multilaterali:
- Europol e Interpol, con squadre specializzate nella cybercrime division;
- Eurojust, per il coordinamento giudiziario tra magistrature,
- FATF (Financial Action Task Force), che definisce gli standard globali contro il riciclaggio;
- Joint Cybercrime Action Taskforce (J-CAT), per operazioni congiunte contro gruppi criminali digitali.
Questi strumenti permettono di condividere intelligence, risorse tecnologiche e operazioni sotto copertura, come dimostrato nelle operazioni contro i marketplace della dark web come Hydra o DarkMarket.
Il nuovo Regolamento Antiriciclaggio dell’UE
Nel 2024 l’Unione Europea ha adottato un nuovo Regolamento Antiriciclaggio (AMLR) per rafforzare la lotta al riciclaggio di denaro e al finanziamento del terrorismo. Il regolamento introduce:
- la nascita dell’AMLA (Anti-Money Laundering Authority), autorità centrale con poteri ispettivi e sanzionatori;
- l’obbligo per i fornitori di servizi crypto di registrarsi e segnalare operazioni sospette;
- regole più rigide per i trasferimenti di asset digitali;
- maggiore trasparenza sui titolari effettivi delle imprese.
Questo pacchetto normativo mira a colmare le lacune esistenti nella lotta contro il riciclaggio digitale, armonizzando le norme tra i paesi membri e rendendo più efficaci i controlli.
Domande frequenti (FAQ)
- Cos’è la cyber mafia?
È un tipo di criminalità organizzata che utilizza strumenti digitali per compiere reati informatici e attività di riciclaggio online. - Quali reati commette la cyber mafia?
Dall’uso di ransomware e phishing al riciclaggio con criptovalute, fino alle truffe digitali e alla vendita di dati rubati. - Chi sono i membri della cyber mafia?
Comprendono hacker, programmatori, criminali tradizionali, colletti bianchi e intermediari finanziari. - Qual è il legame tra mafia e criptovalute?
Le criptovalute permettono transazioni difficili da tracciare, ideali per il riciclaggio di denaro. - Come si contrasta il riciclaggio digitale in Italia?
Attraverso la UIF, la Guardia di Finanza, la CNAIPIC e le leggi recepite dalle direttive europee. - Qual è il ruolo dell’UE contro la cyber mafia?
L’UE ha introdotto regolamenti e autorità centralizzate come AMLA per monitorare e contrastare il riciclaggio digitale. - Cosa prevede il nuovo Regolamento Antiriciclaggio?
Più trasparenza, obblighi per le piattaforme crypto e creazione di un’autorità unica europea. - Che differenza c’è tra hacker e cyber mafia?
Gli hacker possono essere indipendenti, la cyber mafia è un’organizzazione criminale strutturata. - Perché il cyberspazio è vantaggioso per la mafia?
Perché consente anonimato, minori rischi operativi e alti profitti in poco tempo. - L’Italia collabora con altri paesi per combattere la cyber mafia?
Sì, tramite Europol, Interpol, Eurojust e task force internazionali come J-CAT.
