Interpol colpisce 10.909 reti cybercriminali

Una vasta operazione internazionale coordinata da Interpol ha portato allo smantellamento di 10.909 reti cybercriminali in Africa e all’arresto di 1.462 sospetti. Per un’azienda italiana il punto non è geografico ma operativo: le minacce colpite — business email compromise, phishing, truffe online e ransomware — sono le stesse che ogni giorno prendono di mira anche PMI, studi professionali e uffici amministrativi.

Il dato più importante, infatti, è questo: dietro le frodi digitali non ci sono episodi isolati, ma infrastrutture organizzate, distribuite e capaci di colpire su larga scala. Sapere come funzionano aiuta a capire perché oggi la difesa non può limitarsi all’antivirus o alla prudenza del singolo dipendente.

Che cos’è successo nell’operazione Serengeti III

Il 22 ottobre 2026 Interpol ha reso noti i risultati di Operation Serengeti III, un’azione condotta tra il 29 giugno e il 31 agosto con il coinvolgimento delle autorità di 21 Paesi africani e il supporto di partner privati come Team Cymru, Kaspersky, Group-IB e Fortinet.

Secondo i dati comunicati, l’operazione ha portato a:

• 1.462 arresti di sospetti cybercriminali
• 10.909 reti malevole smantellate
• oltre 105 milioni di dollari di fondi illeciti recuperati
• 65.929 vittime identificate
• perdite economiche stimate per oltre 385 milioni di dollari

L’iniziativa ha preso di mira in particolare tre categorie di minacce molto rilevanti anche per il tessuto imprenditoriale europeo: business email compromise (BEC), ransomware e truffe online.

Non si tratta di un’azione simbolica. I numeri mostrano un ecosistema criminale strutturato, con server, domini, indirizzi IP, account e infrastrutture di comando e controllo che possono essere usati per campagne fraudolente in più Paesi contemporaneamente.

Perché questa notizia riguarda anche le aziende italiane

Quando si legge di una grande operazione di polizia all’estero, la reazione istintiva è pensare che sia un problema lontano. In realtà è l’opposto.

Le campagne di phishing, le frodi via email ai danni dell’ufficio amministrativo, le richieste di bonifico urgenti apparentemente inviate da un fornitore o da un dirigente, e gli attacchi ransomware non rispettano confini nazionali. Chi colpisce un’azienda in Lombardia può usare infrastrutture sparse in vari continenti, caselle email compromesse in altri Paesi e tecniche standardizzate che funzionano ovunque.

L’operazione Serengeti III conferma proprio questo: la cybercriminalità moderna è industrializzata. Non parliamo solo di singoli truffatori, ma di reti che raccolgono credenziali, riciclano denaro, registrano domini ingannevoli, gestiscono malware e monetizzano accessi rubati.

Per una PMI, il rischio non è teorico. Le organizzazioni più piccole spesso hanno processi finanziari snelli, meno controlli formali e una minore separazione dei ruoli. Questo le rende particolarmente esposte alle frodi basate sulla fiducia e sulla fretta.

I casi emersi: frodi finanziarie, mining illecito, phishing su larga scala

Tra gli episodi evidenziati da Interpol ci sono alcuni elementi utili per capire l’evoluzione delle minacce.

In Uganda, le forze dell’ordine hanno smantellato due reti transnazionali dedite a frodi online su investimenti e pensioni, arrestando 365 persone. È un promemoria importante: le truffe digitali non puntano solo alle aziende, ma anche ai loro titolari, dipendenti e clienti.

In Angola sono stati individuati centri di mining illegale di criptovalute: nove sospetti arrestati e oltre 2.000 dispositivi sequestrati. Anche quando non c’è un furto diretto di denaro, l’abuso di infrastrutture informatiche può generare costi elevati, consumo anomalo di risorse e degrado dei sistemi.

In Nigeria è stato arrestato un sospettato indicato come gestore di una vasta operazione di phishing e business email compromise, che avrebbe raccolto credenziali software e accumulato circa 2,1 milioni di indirizzi email. Questo dettaglio chiarisce bene la logica industriale delle frodi: prima si costruisce una base di contatti e accessi, poi la si usa per colpire aziende, fornitori e clienti con campagne mirate.

Interpol segnala inoltre impatti su app di prestito mobile malevole, importazioni fraudolente di veicoli e truffe di investimento in criptovalute. In altre parole, il cybercrime non vive più in un compartimento separato: si intreccia con finanza, commercio, logistica e relazioni commerciali.

Il vero insegnamento: l’infrastruttura conta quanto l’attacco

Uno degli aspetti più interessanti dell’operazione è il ruolo dei partner privati nel fornire intelligence tecnica su domini sospetti, indirizzi IP e infrastrutture di comando e controllo.

Questo punto è cruciale anche per le aziende. Spesso ci si concentra solo sul momento finale dell’incidente: la mail truffaldina arrivata in contabilità, il file allegato aperto da un utente, il server bloccato dal ransomware. Ma gli attacchi hanno quasi sempre una fase preparatoria fatta di infrastrutture, movimenti laterali, raccolta credenziali e test.

Per questo oggi la difesa efficace richiede più livelli:

• protezione della posta elettronica
• monitoraggio degli accessi
• controllo delle credenziali privilegiate
• segmentazione dei sistemi
• copie di sicurezza affidabili e isolate
• procedure chiare per pagamenti e cambi IBAN

In pratica, la domanda giusta non è solo “come blocco il malware?”, ma anche “come intercetto comportamenti anomali e come limito i danni se qualcuno entra con credenziali valide?”

Serengeti I, II e III: un trend che non si ferma

I risultati delle edizioni precedenti mostrano continuità e scala del fenomeno.

La prima Operation Serengeti, svolta tra settembre e ottobre 2024 in 19 Paesi africani, aveva portato a 1.006 arresti, all’abbattimento di 134.089 infrastrutture e reti malevole e al recupero di circa 44 milioni di dollari.

Serengeti 2.0, condotta tra giugno e agosto 2025, aveva prodotto 1.209 arresti, lo smantellamento di 11.432 infrastrutture malevole e il sequestro di 97,4 milioni di dollari.

L’edizione 2026 conferma che le autorità stanno migliorando il coordinamento internazionale, ma anche che il fenomeno resta persistente e altamente redditizio. In altre parole: gli arresti sono un segnale positivo, ma non indicano una riduzione automatica del rischio per le imprese.

Cosa significa per la tua azienda

Per una PMI italiana, questa notizia si traduce in una conclusione semplice: la sicurezza informatica va trattata come un processo aziendale, non come un acquisto una tantum.

Ecco le priorità pratiche su cui intervenire subito:

1. Rafforza i controlli sui pagamenti
   Le frodi BEC funzionano perché qualcuno autorizza un bonifico sulla base di un’email credibile. Serve una procedura obbligatoria di verifica fuori banda per cambi IBAN, urgenze anomale e richieste riservate. Una telefonata al referente noto vale più di qualsiasi tecnologia.

2. Proteggi l’accesso alle caselle email
   L’email resta il punto d’ingresso principale. Attiva l’autenticazione a più fattori, riduci il riuso delle password e controlla gli accessi anomali, soprattutto per direzione, amministrazione e commerciale. Una compromissione di casella può bastare per orchestrare truffe molto convincenti.

3. Prepara il ripristino, non solo la prevenzione
   Ransomware e sabotaggi richiedono backup verificati e procedure di recupero testate. Non basta avere una copia: bisogna sapere in quanto tempo si riparte e quali dati sono davvero recuperabili. In questo ambito un servizio di remote backup ben progettato può fare la differenza.

4. Gestisci PC e account in modo ordinato
   Molti incidenti sfruttano postazioni non aggiornate, utenze lasciate attive o software installati senza controllo. Standardizzare aggiornamenti, policy e inventario dispositivi riduce il rischio in modo concreto. È il tipico lavoro continuo di desktop IT management.

5. Forma il personale sui casi reali
   Le persone non devono diventare tecnici, ma devono saper riconoscere i segnali tipici: urgenza, riservatezza, variazione improvvisa di coordinate bancarie, allegati inattesi, login che sembrano normali ma non lo sono. La formazione funziona di più quando è breve, ripetuta e legata a esempi operativi.

6. Definisci prima cosa fare in caso di incidente
   Chi decide di spegnere un PC? Chi contatta il fornitore IT? Chi verifica se ci sono dati personali coinvolti? Chi avvisa clienti o partner, se necessario? Avere un piano riduce errori e tempi morti. Se l’azienda tratta dati personali, la parte organizzativa si collega anche agli obblighi di sicurezza informatica e di conformità.

Il punto centrale è questo: la maggior parte dei danni economici nasce dall’interruzione operativa, dai bonifici fraudolenti o dalla perdita di fiducia, non solo dal gesto tecnico iniziale dell’attacco.

Domande frequenti

Un’operazione di polizia internazionale riduce davvero il rischio per le PMI?

Sì, perché interrompe infrastrutture e attività criminali in corso. Ma non elimina il problema: le tecniche usate contro le aziende restano attive e vengono rapidamente replicate.

Il business email compromise è un virus?

No. Di solito è una frode basata su email credibili, account compromessi o domini simili a quelli reali. L’obiettivo è convincere qualcuno a pagare o a condividere dati sensibili.

Qual è la prima misura concreta da adottare?

Mettere in sicurezza l’email e formalizzare i controlli sui pagamenti: autenticazione a più fattori, verifica telefonica dei cambi IBAN e regole chiare per le richieste urgenti.