Attacchi agli ATM: Non Esiste una Soluzione per Sempre
Il 22 e 23 settembre 2026 l'Allianz MiCo di Milano ha ospitato la prima edizione di WeSec – Il Salone della Sicurezza, promosso dall'ABI insieme a CERTFin, ABI Lab, OSSIF e FEduF: due giorni in cui istituzioni, autorità, banche e imprese si sono confrontate su una sicurezza che è ormai una questione di sistema.
Dopo il suo intervento nella sessione OSSIF dedicata alla sicurezza degli ATM, Domenico Morano, Amministratore Unico di MCM Group, ha risposto alle domande di Euroborsa: la tecnica della doppia esplosione, il passaggio dalla difesa passiva a quella attiva e perché la protezione degli ATM va considerata un investimento strategico, non un costo.
Dottor Morano, i recenti dati dell'OSSIF presentati a WeSec evidenziano un preoccupante ritorno di fiamma degli attacchi contro gli ATM in Italia, con tecniche sempre più aggressive e distruttive: dagli esplosivi gassosi e solidi ai tentativi di scardinamento meccanico pesante. Dalla prospettiva di MCM Group, come sono cambiate le dinamiche di questi attacchi, e in che modo l'ingegneria dei dispositivi fisici deve ripensare la resistenza strutturale per fronteggiare minacce ad altissimo impatto cinetico?
È una domanda davvero impegnativa per noi produttori di soluzioni, perché — come ho provato a spiegare nella sessione di OSSIF — non esiste una soluzione che valga per sempre. Se esistesse, avremmo fatto la nostra fortuna.
Tenga conto che qualunque soluzione, anche la più innovativa, ha un ciclo di vita piuttosto contenuto: abbiamo visto che in tre, quattro, al massimo cinque anni una soluzione viene superata. Non perché sia progettata o realizzata male, ma perché le bande analizzano ed evolvono, sia nelle analisi sia nei mezzi che hanno a disposizione.
Lei parlava di esplosivi. La tecnica che oggi sta facendo davvero tanti danni agli istituti di credito e postali è quella della doppia esplosione. Negli anni, in quella rincorsa tra guardie e ladri, abbiamo dotato gli ATM di dispositivi che impediscono l'introduzione dell'esplosivo. Oggi la loro tecnica è questa: la prima esplosione distrugge questi dispositivi, la seconda permette l'attacco. È una corsa continua.
Il messaggio che cerchiamo sempre di far passare come costruttori è che serve davvero una sinergia, una condivisione di informazioni tra noi, i produttori di ATM, gli istituti di credito e le forze dell'ordine. Perché è lì che io, da ingegnere — da chi mette a disposizione l'ingegneria — posso analizzare che cosa mette realmente in atto un'organizzazione criminale.
Nel panel avete sottolineato la necessità di soluzioni ad alta innovazione tecnologica per rendere vano il tentativo di effrazione. Oltre al consolidamento passivo di blindature e casseforti, la vera sfida si gioca sulle contromisure attive intelligenti e sui dispositivi di saturazione e inibizione dei gas. Come system integrator che copre progettazione, produzione e installazione, come riuscite a integrare questi sottosistemi in un'architettura coordinata che neutralizzi il valore del bottino senza mettere a rischio l'incolumità pubblica e la sicurezza strutturale degli edifici?
Ha centrato il problema. In questo caso l'aspetto più importante è integrare tante soluzioni: non ne esiste una sola, devono essere tante. Ci sono le cosiddette ghigliottine, che impediscono l'inserimento della «marmotta» — la carica esplosiva — all'interno dell'ATM; ci sono i sistemi di macchiatura delle banconote. Però nel tempo abbiamo visto come queste soluzioni, lo dicevo prima, vengano in parte superate dall'intelligenza del malfattore.
Per questo abbiamo iniziato a spostare l'attenzione verso l'esterno della filiale, verso l'esterno dell'ATM, introducendo dispositivi e barriere estremamente intelligenti. Noi la chiamiamo Advanced Security Mask: un dispositivo evoluto che, grazie a un'elettronica all'avanguardia, permette di mettere in protezione l'ATM nel momento in cui avviene l'attacco. Un dispositivo che, ripeto, va abbinato ad altre soluzioni, come il videoriconoscimento e l'intelligenza artificiale.
I fatti in questo momento ci stanno dando ragione: Alessio Bifarini di Poste Italiane ha mostrato come, da quando Poste ha iniziato a investire in modo importante in questi dispositivi, il suo posizionamento di rischio rispetto alle banche si sia completamente invertito.
Quindi soluzioni intelligenti che, ripeto, dobbiamo mettere in conto abbiano una vita abbastanza limitata. E allora cosa fai, ti abbandoni alla disperazione? No. La soluzione non è uno specifico prodotto, ma affidarsi a società che, grazie all'innovazione, cercano di stare un passo avanti rispetto alla criminalità.
Un attacco riuscito non comporta soltanto perdite dirette di cassa, ma gravi interruzioni del servizio, costi di ripristino elevati e una perdita di fiducia nella comunità locale. Come può il settore bancario superare la logica del puro costo di sicurezza e valutare l'investimento in tecnologia anti-effrazione come un asset strategico per la continuità operativa e la tutela del brand sul territorio?
Abbiamo visto che gli attacchi, specialmente in alcuni territori e in alcuni comuni periferici, generano disagio sociale. Tra l'altro ho visto interventi di sindaci e prefetti che alzano il livello di attenzione, e quindi anche i presidenti delle banche iniziano a stare un po' più sulle spine.
Va da sé che servono investimenti. Lo dicevamo prima: serve innovazione, servono soluzioni intelligenti. Non ne serve una sola, ne servono di più, e serve sinergia tra le soluzioni che si vanno a integrare.
In questo posso portare personalmente la testimonianza di quello che sta facendo Poste Italiane. Poste ha fatto un investimento enorme, di decine di milioni di euro, per mettere in sicurezza un parco ATM davvero nutrito e in gran parte periferico: Poste Italiane, lo ricordo, a differenza dei grandi gruppi bancari copre per obbligo tutto il territorio. E grazie a questo investimento ne sta traendo i benefici.
Credo che, alla luce della testimonianza di oggi e dei dati messi in evidenza sia da ABI sia da Poste Italiane, i grandi gruppi bancari dovrebbero riconsiderare le proprie politiche di investimento. È un passaggio quasi obbligato.