Truffe e frodi agevolate dalla tecnologia – Money muling – Cybercrime – Segnalazioni di operazioni sospette – Qualità e tempestività – Nuovi codici fenomeno – Obblighi di collaborazione attiva.
Unità di Informazione Finanziaria per l’Italia, Comunicazione dell’8 giugno 2026
Contesto e finalità
Con la Comunicazione dell’8 giugno 2026, l’Unità di Informazione Finanziaria per l’Italia (UIF) ha fornito un aggiornamento sistematico degli elementi di attenzione e degli indicatori operativi a disposizione dei soggetti obbligati ai sensi del d.lgs. n. 231/2007 (c.d. decreto antiriciclaggio) per rilevare e segnalare operazioni sospette connesse a truffe, frodi agevolate dalla tecnologia, money muling e altri reati informatici.
La Comunicazione si inserisce in un contesto di marcata e crescente esposizione del sistema finanziario a tali fenomeni: dal 2021 al 2025 le segnalazioni di operazioni sospette (SOS) riconducibili a schemi fraudolenti sono passate da circa 9.000 a oltre 30.000, con un trend in ulteriore accelerazione nel 2026. Le perdite finanziarie a livello mondiale sono state stimate in oltre 400 miliardi di dollari nel 2025. L’Unità richiama altresì la crescita superiore al 50% delle richieste di tracciamento e recupero dei proventi illeciti all’estero pervenute nel 2025 dall’Autorità giudiziaria e dagli Organi investigativi.
Il documento sostituisce integralmente lo schema di comportamento anomalo in materia di frodi informatiche del 5 febbraio 2010 e si coordina con le Istruzioni per la rilevazione e la segnalazione delle operazioni sospette del 18 dicembre 2025.
La Comunicazione individua e descrive tre macro-categorie di fenomeni su cui i destinatari degli obblighi di collaborazione attiva sono chiamati a concentrare l’attenzione.
- 1. Truffe e frodi agevolate dalla tecnologia.
Rientrano in questa categoria le ipotesi più ricorrenti: phishing, smishing, job scam, impersonation scam, business e-mail compromise (BEC), romance scam, purchase e rental scam, investment scam (anche in cripto-attività). Sul piano soggettivo, la UIF segnala come indici di anomalia il rifiuto o l’incoerenza delle informazioni fornite, la frequente variazione o coincidenza tra più soggetti di dati quali indirizzi di residenza, email, numeri di cellulare, identificativi dei dispositivi e indirizzi IP. Sul piano oggettivo, assumono rilievo l’utilizzo di reti VPN, proxy o altri strumenti di anonimizzazione incongruenti con il profilo del cliente, accessi da indirizzi IP condivisi tra una pluralità di rapporti, connessioni originate da aree geografiche incompatibili con la localizzazione del cliente, nonché frequenti modifiche dei fingerprint dei dispositivi. Sono altresì sintomatici di condotte fraudolente le incongruenze tra il nominativo del beneficiario indicato dal mittente e l’effettiva intestazione del conto di accredito, la presenza di operazioni rifiutate, stornate o disconosciute, e la concentrazione delle transazioni in periodi festivi o nel fine settimana, con immediato utilizzo della provvista per trasferimenti verso altri rapporti (anche esteri), acquisti di cripto-attività o prelievi ATM.
- 2. Money muling
L’attività di money muling, spesso connessa alle frodi tecnologiche, si caratterizza per l’utilizzo di rapporti di recente apertura intestati a soggetti vulnerabili (giovani, disoccupati, pensionati), per la presenza di dati di contatto comuni a più soggetti, per la rapidità delle operazioni in accredito e addebito — spesso frazionate, di importo contenuto e con l’estero — e per l’utilizzo di causali generiche o incongruenti. La UIF precisa che la mera operatività finalizzata all’azzeramento del saldo non è di per sé sintomo di money muling e deve essere valutata nel contesto complessivo delle anomalie rilevate.
- 3. Cybercrime
In questa categoria rientrano le condotte illecite realizzate mediante tecniche informatiche sofisticate volte a compromettere la riservatezza, l’integrità o la disponibilità di dati, credenziali o sistemi: Advanced Persistent Threat (APT), malware, ransomware, attacchi man-in-the-middle, DDoS. La UIF richiama l’attenzione sull’utilizzo di identità fittizie o sintetiche, sull’impiego dell’intelligenza artificiale generativa e dei deepfake, nonché sull’apertura di rapporti intestati a soggetti reali inconsapevoli.
Qualità e tempestività delle segnalazioni
La Comunicazione dedica ampio spazio alle modalità con cui i soggetti obbligati devono adempiere agli obblighi di collaborazione attiva, sottolineando due direttrici fondamentali.
Sul piano della qualità, la UIF richiede di evitare automatismi segnaletici e testi generici o standardizzati. La descrizione dell’operatività sospetta e dei motivi del sospetto deve essere calibrata sul caso concreto e riportare, in forma strutturata, tutti i dati identificativi rilevanti, la rappresentazione chiara dei flussi finanziari, i collegamenti tra soggetti e gli eventuali elementi tecnici significativi (indirizzi IP, VPN, fingerprint, device, geolocalizzazione). La mera esistenza di una denuncia all’Autorità giudiziaria non giustifica automatismi segnaletici.
Sul piano della tempestività, è fondamentale procedere alla SOS prima dell’esecuzione delle operazioni, per consentire interventi immediati a tutela delle vittime e agevolare le analisi finanziarie a supporto delle indagini, con particolare riguardo alle operazioni di importo elevato.
La UIF sottolinea altresì l’importanza della collaborazione tra i presìdi antifrode e antiriciclaggio interni agli intermediari, evidenziando come l’integrazione tra le due funzioni migliori la capacità di individuare schemi fraudolenti strutturati e di cogliere la dimensione transnazionale dei fenomeni.
I nuovi codici fenomeno
Con la presente Comunicazione la UIF introduce tre nuovi codici da utilizzare nella compilazione delle SOS:
• I01 – Truffe e frodi agevolate dalla tecnologia: da utilizzare in presenza di sospetto di condotte fraudolente e di connesso riciclaggio;
• I04 – Money muling: da utilizzare in presenza di sospetto relativo al reclutamento di soggetti per trasferire denaro illecito, anche in assenza di elementi riconducibili al fenomeno I01 ovvero in abbinamento a quest’ultimo;
• I05 – Cybercrime: da utilizzare per i sospetti di reati informatici non rientranti nel fenomeno I01, caratterizzati da sofisticate tecniche di compromissione di sistemi informatici.
Il precedente codice I02-Frodi informatiche cessa di trovare applicazione dalla data di pubblicazione della Comunicazione.
Principio operativo
I soggetti obbligati ai sensi del d.lgs. n. 231/2007 sono tenuti ad adottare un approccio integrato e intersettoriale nella rilevazione delle anomalie connesse a truffe, frodi agevolate dalla tecnologia, money muling e cybercrime, valorizzando congiuntamente i presìdi antifrode e antiriciclaggio.
Gli elementi di attenzione indicati dalla UIF hanno natura esemplificativa e non esaustiva: la valutazione del sospetto deve essere condotta in concreto, tenendo conto di tutte le informazioni disponibili, con la massima selettività dei contenuti segnaletici e con tempestività, privilegiando — ove possibile — la segnalazione preventiva rispetto all’esecuzione delle operazioni. L’adozione dei nuovi codici fenomeno (I01, I04, I05) è parte integrante di tale approccio e mira a migliorare la classificazione e l’analisi finanziaria delle SOS da parte dell’Unità.
Legal Advice
Alla luce della Comunicazione UIF dell’8 giugno 2026, i soggetti obbligati ai sensi del d.lgs. n. 231/2007 devono adottare con priorità le seguenti misure operative:
- Revisione e integrazione dei sistemi di monitoraggio: aggiornare i motori di rilevazione delle anomalie introducendo gli indicatori tecnici individuati dalla UIF, con particolare attenzione a: condivisione di indirizzi IP tra più rapporti, frequenti modifiche dei fingerprint dei dispositivi, utilizzo di VPN o strumenti di anonimizzazione incoerenti con il profilo del cliente, geolocalizzazione incompatibile con la residenza o sede del cliente, rapida movimentazione in uscita dopo accrediti recenti.
- Integrazione tra funzione antifrode e funzione antiriciclaggio: strutturare flussi informativi interni che consentano ai due presìdi di condividere in tempo reale le anomalie rilevate, superando logiche operative compartimentate. La collaborazione integrata è esplicitamente valorizzata dalla UIF come leva per intercettare schemi fraudolenti complessi e transnazionali.
- Adozione dei nuovi codici fenomeno: aggiornare i processi e la modulistica interna di compilazione delle SOS per recepire i codici I01, I04 e I05, cessando l’utilizzo del codice I02. Formare il personale addetto alla valutazione delle operazioni anomale sulla corretta selezione del codice applicabile al caso concreto.
- Innalzamento della qualità segnaletica: eliminare i testi standardizzati e gli automatismi segnaletici. Ogni SOS deve contenere una descrizione analitica e specifica dei flussi finanziari, dei soggetti coinvolti e degli elementi tecnici rilevanti, calibrata sul singolo caso. Il personale deve essere sensibilizzato a evitare approcci meramente difensivi nella selezione dei contesti da segnalare.
- Anticipazione della segnalazione rispetto all’esecuzione delle operazioni: strutturare le procedure interne in modo da consentire l’invio della SOS — ove possibile — prima dell’esecuzione delle operazioni sospette, così da agevolare interventi tempestivi a tutela delle vittime e l’eventuale attivazione dei canali di cooperazione internazionale tra Financial Intelligence Unit.
- Rafforzamento dei presìdi di onboarding digitale: alla luce del richiamo agli Orientamenti EBA sull’utilizzo di soluzioni di onboarding a distanza, rivedere le procedure di identificazione della clientela per prevenire l’apertura di rapporti con identità fittizie, sintetiche o oggetto di furto, prestando particolare attenzione alle anomalie tecniche rilevabili già in fase di accesso e registrazione del dispositivo.
