Esperta in Antiriciclaggio
____
Ogni anno Europol fotografa lo stato del crimine organizzato nel ciberspazio europeo con il suo Internet Organised Crime Threat Assessment – IOCTA. L’edizione 2026, intitolata “The evolving threat landscape. How encryption, proxies and AI are expanding cybercrime”, non si limita a registrare fenomeni noti: li ricompone in un quadro strategico che interpella direttamente gli intermediari finanziari, i loro presidi di adeguata verifica e le procedure di monitoraggio delle operazioni. Leggere questo documento attraverso la lente dell’antiriciclaggio è una necessità operativa.
Il report è strutturato in quattro aree tematiche: gli abilitatori del crimine informatico, i sistemi di frode online, i cyber-attacchi e l’abuso sessuale di minori online; è soprattutto la sezione dedicata ai facilitatori finanziari e all’uso delle criptoattività a interessare più da vicino i presidi AML delle banche.
Il velocity gap: la criminalità accelera, le banche adeguano i presidi
Il concetto attorno al quale ruota l’intero report è quello di “velocity gap”: il divario crescente tra la velocità con cui i criminali adottano nuove tecnologie e la capacità di risposta delle Autorità investigative. Ma questo scarto non riguarda soltanto le forze dell’ordine. Riguarda tutti i soggetti obbligati che hanno il compito di individuare e segnalare operazioni sospette.
Europol osserva che l’intelligenza artificiale generativa consente oggi alle reti criminali di personalizzare i meccanismi di ingegneria sociale con una precisione e una velocità inedite. Le truffe per investimento in criptovalute, il business email compromise e la CEO fraud: tutti questi schemi beneficiano ora di contenuti generati automaticamente, multilingue, calibrati sul profilo della vittima. Per una banca che monitora i flussi in entrata e in uscita sui conti correnti della propria clientela, questo significa che i segnali di anomalia tradizionali – quelli legati a comportamenti atipici rispetto al profilo del cliente – rischiano di essere più difficili da rilevare, perché le vittime stesse sono convinte di agire in modo consapevole.
| “Fraud schemes represent the fastest-growing area of organised crime” – IOCTA 2026, Europol |
La truffa come industria transnazionale
La classificazione delle frodi online (OFS – Online Fraud Schemes) come settore in più rapida crescita nell’ambito della criminalità organizzata non sorprende chi opera nei presidi di controllo. Sorprende, invece, il grado di industrializzazione descritto dal report: le reti criminali che gestiscono schemi di frode operano con logiche da supply chain, con divisione del lavoro, outsourcing di funzioni specifiche e infrastrutture tecniche proprietarie.
Il fenomeno delle SIM box – dispositivi che ospitano centinaia di SIM usate per campagne di phishing e smishing su scala industriale – si è ulteriormente globalizzato. Un caso emblematico citato nel report riguarda una rete lettone smantellata nell’ottobre 2025: sette cittadini lettoni avevano allestito una SIM farm con almeno 1.200 dispositivi che gestivano 40.000 SIM registrate su numeri di oltre 80 paesi. Oltre 49 milioni di account online erano stati creati tramite questo servizio criminale, che veniva offerto ad altri sodalizi come vero e proprio modello crime-as-a-service (CaaS).
Per un operatore AML, questo dato assume un rilievo preciso: le truffe che originano da strutture di questo tipo producono flussi finanziari difficili da tracciare, spesso transitanti su conti di soggetti inconsapevoli (le vittime) prima di essere convogliati verso destinazioni finali attraverso reti di money mule o exchange di criptovalute privi di adeguati presidi KYC.
Criptoattivi: non più solo vettore di cybercrime, ma strumento consolidato di riciclaggio
Privacy coin e mixing services: il punto critico per le banche
Il capitolo più rilevante per i presidi AML è senza dubbio quello dedicato alle criptoattività come facilitatori finanziari. Europol descrive un’evoluzione significativa: le criptovalute non sono più soltanto uno strumento del cybercrime, ma sono diventate un mezzo di offuscamento consolidato nell’intero panorama della criminalità organizzata.
Nel 2025, le criptovalute hanno continuato a essere il metodo di pagamento preferito per i ransomware, principalmente per la loro relativa anonimità e la natura transfrontaliera. Ma la vera novità è la crescente adozione di privacy coin: valute digitali con funzioni di anonimizzazione integrate, come Monero, resistenti agli strumenti di analisi blockchain. I criminali preferiscono servizi di cambio situati in giurisdizioni con protocolli AML poco stringenti o in centri finanziari offshore.
Altrettanto preoccupante è l’ascesa del chain-hopping come tecnica di riciclaggio: i fondi vengono spostati rapidamente tra blockchain diverse attraverso i cosiddetti bridge, protocolli che consentono l’interoperabilità tra reti. Questa tecnica, lecita nella sua applicazione ordinaria, viene sfruttata dai criminali per moltiplicare i passaggi e rendere praticamente impossibile la ricostruzione del flusso da parte delle Autorità investigative. Il report indica espressamente che bridge, DEX, ossia exchange decentralizzati, e mixer basati su smart contract sono i metodi preferiti dai gruppi ransomware per l’off-ramping dei proventi illeciti.
Un caso operativo emblematico riguarda il servizio Cryptomixer, smantellato nel novembre 2025 con il supporto di Europol: attivo dal 2016, aveva processato oltre 1,3 miliardi di euro in Bitcoin, operando tanto sul clear web quanto sul dark web come punto di convergenza per riciclaggio legato a traffico di droga, di armi, ransomware e frode sui sistemi di pagamento. Nel corso dell’operazione sono stati sequestrati oltre 25 milioni di euro in criptoattivi e 12 terabyte di dati.
| La tracciabilità formale non garantisce la liceità dell’operazione. Un flusso che attraversa più blockchain, mixer e DEX può essere perfettamente documentato sul piano tecnico ed essere comunque il prodotto di un’attività criminale. |
Minori e money mule: un rischio da integrare nella profilatura AML
Il report segnala un aspetto spesso trascurato nella pratica bancaria: la crescente accessibilità delle criptovalute per i minori e i giovani adulti, anche tramite schemi ‘get-rich’ sui social media e il trading peer-to-peer. I minori possono essere inconsapevolmente coinvolti in attività di riciclaggio affittando i propri wallet o accettando ‘regali’ in cripto da cybercriminali.
Per le banche che offrono servizi di conto corrente a clienti giovani o che gestiscono rapporti con Exchange di criptovalute, questo profilo di rischio merita attenzione specifica nell’ambito della valutazione del rischio individuale del cliente. Un flusso anomalo su un conto intestato a un soggetto di giovane età che coinvolga trasferimenti verso o da wallet di criptoattivi deve essere letto anche alla luce di questa traiettoria evolutiva del fenomeno.
Dark web e infrastrutture criminali: frammentazione come resilienza
Il dark web continua a svolgere una funzione abilitante per l’intera economia sommersa, ma la sua morfologia è cambiata. I marketplace generalisti stanno cedendo il passo a piattaforme specializzate, più piccole, con accesso su invito e caratterizzate da maggiore sicurezza operativa. L’operazione che ha portato allo smantellamento di Archetyp Market nel giugno 2025 – marketplace attivo dal 2020 con oltre 600.000 utenti e un volume transattivo di almeno 250 milioni di euro, uno dei pochi a consentire la vendita di oppioidi sintetici come il fentanil – ne è la prova più recente. Ma subito dopo la chiusura, nuovi marketplace hanno riempito il vuoto nel giro di settimane.
Questa dinamica di frammentazione/resilienza ha un impatto diretto sul monitoraggio dei flussi finanziari. I criminali sfruttano il periodo tra la registrazione di un dominio e l’intervento delle Autorità per portare a termine campagne di frode e distribuzione di malware su larga scala, prima che le misure di blocco possano essere attivate. I servizi di hosting ‘bullet-proof’, distribuiti in più giurisdizioni attraverso accordi di sub-sub-leasing, rendono la raccolta di prove elettroniche sistematicamente incompleta o tardiva.
Ransomware, attori ibridi e la nuova frontiera del rischio sistemico
Nel 2025 Europol ha rilevato oltre 120 brand di ransomware attivi nell’Unione europea. Il modello extorsivo si è ulteriormente evoluto: non si limita alla cifratura dei dati, ma combina esfiltrazione, DDoS e cold-calling per massimizzare la pressione psicologica sulle vittime.
Ma l’elemento piu’ preoccupante per il sistema finanziario è un’altra: il confine tra attori criminali informatici e attori di minaccia ibrida – gruppi statali o parastatali che operano con finalità geopolitiche – si sta assottigliando. Nell’economia CaaS, gli attori ibridi sono semplicemente “un altro cliente”. Questo implica che i proventi da ransomware possono avere, in casi sempre più frequenti, una dimensione di finanziamento di attività che esulano dal crimine organizzato tradizionale, con implicazioni anche per il rischio di finanziamento della proliferazione di armi di distruzione di massa.
Le implicazioni per i presidi AML degli istituti di credito
La lettura del report IOCTA 2026 attraverso la lente dell’antiriciclaggio conduce a identificare alcune aree di attenzione per le banche:
1. Monitoraggio dei flussi verso Exchange di criptoattivi. In considerazione dell’evoluzione dei meccanismi di off-ramping e dell’uso sistematico di DEX e privacy coin, le procedure di adeguata verifica rinforzata applicate alle controparti che operano nel settore delle criptoattività devono essere aggiornate per tenere conto di questi vettori specifici. Il Regolamento UE 2023/1113 (Transfer of Funds Regulation) e le disposizioni del nuovo AML Package europeo (Regolamento 2024/1624) forniscono il quadro di riferimento normativo aggiornato.
2. Rischio residenzial proxy e identità digitali compromesse. L’uso sistematico di proxy residenziali per mascherare attività illecite come traffico legittimo significa che i sistemi di rilevamento basati su indirizzi IP e geolocalizzazione possono essere elusi. Questo dovrebbe indurre le banche a rafforzare i controlli comportamentali sui canali digitali, riducendo la dipendenza da indicatori puramente tecnici.
3. Giovani adulti e minoir come soggetti esposti. Il report segnala esplicitamente che i minori possono essere inconsapevolmente coinvolti in schemi di money laundering. Le banche che offrono prodotti dedicati ai clienti giovani devono prevedere indicatori di anomalia specifici per questo segmento, in coerenza con gli orientamenti EBA sull’approccio basato sul rischio.
4. Threat intelligence come input per la valutazione del rischio. Il report IOCTA è un documento di intelligence strategica, ma i suoi contenuti possono e devono alimentare i modelli di rischio degli istituti di credito. L’aggiornamento delle tipologie di rischio, dei pattern di comportamento sospetto e delle aree geografiche ad alto rischio non può prescindere dalla lettura sistematica dei report delle autorità europee competenti, inclusa Europol.
Il punto
L’IOCTA 2026 consegna agli operatori del settore finanziario un messaggio inequivocabile: la criminalità organizzata digitale si è trasformata in un sistema industriale, flessibile, resiliente e sempre più integrato con i flussi finanziari legali. La tracciabilità formale di un’operazione – la sua apparente regolarità documentale – non ne garantisce la liceità sostanziale. Un flusso che attraversa più blockchain, servizi di mixing e piattaforme decentralizzate può essere tecnicamente documentato su ogni passaggio ed essere comunque il prodotto di un’attività criminale.
Per i presidi AML degli intermediari finanziari, questo impone un aggiornamento continuo delle metodologie di analisi, della threat intelligence integrata nei modelli di scoring e della formazione del personale di front office. Il velocity gap non è solo una sfida per le forze dell’ordine: è una sfida per chiunque sia chiamato, per legge e per responsabilità professionale, a contribuire all’integrità del sistema finanziario.
Clicca qui per scaricare il Report.
Annamaria Gallo, “Criptoattività, frodi digitali e riciclaggio: le indicazioni di IOCTA 2026 per le banche”, Magistra Banca e Finanza, 24 maggio 2026, ISSN 2039-7410, https://www.tidona.com/criptoattivita-frodi-digitali-e-riciclaggio-le-indicazioni-di-iocta-2026-per-le-banche/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.