La Truffa all’Opera di Santa Maria del Fiore di Firenze non è un semplice errore amministrativo: si tratta di un attacco di cybercrimine sofisticato e ben organizzato.
Gli aggressori, infatti, si sono inseriti nella comunicazione legittima tra due parti, manipolandola a loro vantaggio.
Vediamo insieme come si è svolto l’attacco man in the middle ai danni di una delle istituzioni culturali più importanti d’Italia e quale lezione può trarne ogni imprenditore.
Il caso: com’è avvenuta la truffa ai danni dell’Opera di S. Maria del Fiore
A dicembre 2025 la cronaca italiana ha raccontato la truffa all’Opera di Santa Maria del Fiore di Firenze — l’ente che gestisce la celebre Cattedrale, il Campanile di Giotto e il Battistero. Secondo quanto riportato da Il Fatto Quotidiano, il raggiro ha fruttato oltre 30 milioni di euro in soli sei mesi e ha portato all’arresto di nove persone indagate per emissione di fatture false, riciclaggio e autoriciclaggio.
L’indagine è partita dalla denuncia del direttore dell’Opera, che aveva stipulato un contratto con una società edile per lavori di restauro. Tuttavia, i bonifici - per quasi 1,7 milioni di euro - sono stati dirottati su un conto corrente fittizio: i truffatori avevano intercettato le email tra la Onlus e i partner commerciali, convincendo l’Ente a pagare somme su conti da loro controllo.
Che tipo di truffa è stata: l’attacco “Man in the middle”
La tecnica usata nel caso della truffa all’Opera di Santa Maria del Fiore di Firenze è nota nel mondo della cybersicurezza come attacco man in the middle o, nella sua forma più nota applicata alle email aziendali, Business Email Compromise (BEC).
In un attacco man in the middle, l’aggressore si interpone nella comunicazione tra due interlocutori (ad esempio, un’azienda e un fornitore), intercettando e potenzialmente alterando i messaggi senza che le parti se ne accorgano.
Questa tipologia di attacco è particolarmente subdola perché sfrutta fiducia e assunzioni errate: le vittime credono di comunicare direttamente con il partner commerciale, quando invece un malintenzionato può leggere, intercettare o modificare i messaggi — inclusi dettagli di pagamento o istruzioni bancarie
Sul nostro blog abbiamo già approfondito gli attacchi man in the middle e come questi possano compromettere non solo email ma anche altre comunicazioni digitali aziendali: trovi l’articolo dedicato qui.
Come difendersi da truffe simili: 5 consigli pratici per imprenditori e manager
La truffa all’Opera di Santa Maria del Fiore di Firenze, uno dei più antichi Enti che provvedono alla conservazione e al mantenimento dei beni e dei luoghi sacri, può essere un valido spunto per mettere in pratica dei comportamenti preventivi di sicurezza. Ecco 5 consigli.
- Policy di verifica per i pagamenti
Non affidarsi mai solo alle email per modifiche delle istruzioni di pagamento. Controlli incrociati via telefono o sistemi autenticati possono impedire che un attacco man in the middle vada a buon fine.
- Protezione delle comunicazioni email
Implementa autenticazione multifattoriale (MFA) per le caselle email aziendali e filtri anti-phishing avanzati. Formare il personale a riconoscere tentativi di compromissione è fondamentale.
- Sicurezza della rete
Utilizza connessioni crittografate (es. HTTPS, VPN) e limita l’accesso a reti non protette, soprattutto quando si gestiscono dati sensibili o pagamenti.
- Monitoraggio e auditing continuo
Strumenti di monitoraggio delle email e delle transazioni possono rilevare attività anomale e generare allarmi in tempo reale, riducendo il rischio di perdite ingenti.
- Formazione e simulazioni
Organizza training specifici per dirigenti, amministrativi e IT su come riconoscere segnali di attacco man in the middle e altre frodi digitali.
Truffa all’Opera di Santa Maria del Fiore di Firenze: conclusioni per la tua impresa
La truffa all’Opera di Santa Maria del Fiore di Firenze da oltre 30 milioni di euro ai danni di una delle istituzioni culturali più importanti d’Italia non è solo cronaca giudiziaria: è un monito per tutte le imprese.
Gli attacchi man in the middle non sono un problema remoto o “per informatici”: possono colpire qualsiasi organizzazione che si affida a comunicazioni digitali non protette.
Se vuoi proteggere la tua azienda da truffe simili, è ora di mettere la cyber sicurezza al centro della strategia d’impresa.
Cyber crimine: la tua sicurezza inizia da qui: la tua sicurezza inizia da qui
La cybersecurity non è più solo una questione tecnica: è una responsabilità strategica. Proteggere i propri modelli e dati significa proteggere il futuro stesso dell’impresa.
Ti stai chiedendo come fare? Potresti rivolgerti alla Camera di commercio del tuo territorio.
Se sei alle prime armi in tema di cybersecurity, a disposizione della tua impresa ci sono consulenze e servizi per aiutarti ad imboccare la strada corretta attraverso i Punti Impresa Digitali che mettono a tua disposizione soluzioni che vanno dalla formazione al mentoring. E proprio in tema sicurezza, puoi chiedere aiuto al PID col servizio Cyber Check.
Vuoi saperne di più sul PID e sul servizio Cyber Check?
Scopri come digitalizzare la tua PMI e renderla sicura dal punto di vista informatico.
Cerchi un’analisi approfondita sul rischio della tua esposizione agli attacchi informatici?
Valuta quanto può essere rischiosa la tua presenza sul web e se sei vulnerabile agli attacchi informatici.