Super AML

Con la comunicazione dell’8 giugno 2026 la UIF interviene su un fronte che stava diventando ineludibile: il raccordo tra la fenomenologia delle frodi digitali e la risposta antiriciclaggio del sistema finanziario. Non si tratta di un documento routinario. È  il riconoscimento formale che il confine tra frode, cybercrime e riciclaggio si sta assottigliando fino quasi a scomparire, e che gli strumenti di presidio devono adeguarsi a questa realtà.

Un fenomeno in accelerazione costante

I numeri restituiti dalla comunicazione parlano da soli. Dal 2021 al 2025 la UIF ha ricondotto oltre 80.000 segnalazioni di operazioni sospette a schemi o fenomenologie fraudolente: le SOS riconducibili a truffe e frodi informatiche sono passate da poco più di 9.000 nel 2021 a oltre 30.000 nel 2025, con un trend che si conferma in accelerazione anche nel 2026. Nel solo 2025 le richieste di cooperazione internazionale per il recupero di fondi illecitamente trasferiti all’estero sono aumentate di oltre il 50 per cento.

Il contesto entro cui questi fenomeni proliferano è quello della trasformazione digitale dei servizi bancari e finanziari: la diffusione dei pagamenti istantanei, l’emergere di nuovi operatori Fintech con modelli di business a distanza, l’utilizzo di Virtual IBAN e cripto-attività hanno ampliato la superficie di rischio e complicato la tracciabilità dei flussi illeciti. La comunicazione richiama in questo senso il documento del GAFI del febbraio 2026 sul tema del Cyber-Enabled Fraud, che stima le perdite finanziarie globali per il 2025 in oltre 400 miliardi di dollari.

Le tre fenomenologie al centro della comunicazione

La struttura del documento si articola attorno a tre macro-fenomenologie, ciascuna con propri indicatori di anomalia soggettivi e oggettivi.

Truffe e frodi agevolate dalla tecnologia. Questa categoria è la più eterogenea e include fattispecie ormai familiari agli operatori, come phishing, romance scam, investment scam, business e-mail compromise (BEC), job scam e rental scam, ma anche fenomeni più recenti legati all’utilizzo illecito dell’intelligenza artificiale generativa e alla produzione di deepfake. La UIF segnala in particolare l’apertura e l’utilizzo di rapporti intestati a identità fittizie o a soggetti reali inconsapevoli, e il ricorso a sistemi di emulazione o virtualizzazione dei dispositivi per sfuggire ai controlli basati sull’unicità del device.

Money muling. La comunicazione dedica ampio spazio a questa fenomenologia, sottolineando che il money muling non costituisce soltanto un passaggio tecnico del ciclo di riciclaggio, ma una condotta autonomamente rilevante ai fini antiriciclaggio anche in assenza di elementi che riconducano a specifiche frodi. Il profilo tipico del money mule – rapporto di recente apertura, intestatario vulnerabile, operatività rapida e frazionata con controparti estere, causali generiche – viene descritto con un dettaglio che non si trovava nel precedente schema comportamentale del 2010.

Cybercrime. La terza fenomenologia riguarda le condotte illecite realizzate mediante tecniche informatiche sofisticate volte a compromettere la riservatezza, l’integrità o la disponibilità di dati e sistemi: APT, malware, ransomware, attacchi man-in-the-middle, DDoS. Per questa categoria la UIF evidenzia l’utilità delle fonti di informazione pubblicamente accessibili sugli attacchi cyber, che possono supportare la valutazione del sospetto anche in assenza di operatività anomala direttamente osservata dall’intermediario.

Gli indicatori tecnici: dalla geolocalizzazione al fingerprint

Una delle novità più significative della comunicazione è l’attenzione dedicata agli indicatori di natura tecnologica. La UIF elenca una serie di elementi che, valutati specialmente in combinazione, possono essere sintomatici di apertura e utilizzo di rapporti con identità rubate, fittizie o sintetiche. Tra questi: accessi temporalmente correlati originati da indirizzi IP condivisi da più rapporti o soggetti diversi; connessioni da dispositivi localizzati in aree geografiche distanti o incompatibili con la residenza del cliente; incongruenze e frequenti modifiche dei fingerprint dei dispositivi; utilizzo di VPN, proxy o altri strumenti di anonimizzazione non coerenti con il profilo del cliente.

L’attenzione al dato tecnico non è casuale. Molti degli schemi fraudolenti descritti nella comunicazione si reggono sulla capacità di mascherare l’identità reale degli autori: sistemi di emulazione che riproducono artificialmente il comportamento di un dispositivo diverso, macchine virtuali che simulano l’operatività di utenti multipli dalla stessa infrastruttura, software di accesso remoto installati sui dispositivi delle vittime. Riconoscere questi pattern è sempre più una competenza che gli intermediari devono integrare nei propri processi di monitoraggio.

Qualità e tempestività delle SOS: un richiamo puntuale

La sezione dedicata alla collaborazione attiva è quella in cui la UIF traccia le coordinate operative più vincolanti per i soggetti obbligati. Il documento richiama con forza l’esigenza di tempestività: la segnalazione deve avvenire prima possibile, e idealmente prima dell’esecuzione delle operazioni, per consentire interventi immediati a tutela delle vittime e per agevolare le analisi finanziarie. Questo principio assume un rilievo particolare nei contesti di frode, in cui la velocità dei pagamenti istantanei riduce drasticamente la finestra di intervento utile.

Sul versante della qualità, la UIF ribadisce l’esigenza di evitare automatismi segnaletici e descrizioni standardizzate, ripetute uniformemente in più segnalazioni. La descrizione dell’operazione sospetta deve essere calibrata sugli elementi specifici del caso: flussi finanziari, collegamenti tra soggetti e dati tecnici rilevanti (indirizzi IP, VPN, fingerprint, geolocalizzazione, device) devono trovare spazio nella rappresentazione del sospetto per consentire all’UIF e agli organi investigativi di ricostruire network criminali più ampi.

La presenza di una denuncia all’Autorità giudiziaria non è di per sé sufficiente a fondare il sospetto ai sensi dell’art. 35 del D.Lgs. 231/2007, ne’ a giustificare automatismi segnaletici. La UIF ribadisce che la valutazione deve essere autonoma e ancorata al caso concreto.

La comunicazione valorizza inoltre il flusso di ritorno della UIF come strumento per orientare la propria attività segnaletica, e richiama l’importanza della condivisione delle informazioni tra soggetti obbligati diversi che siano interessati dalla stessa operatività, ai sensi dell’articolo 39 del D.Lgs. 231/2007.

Nuovi codici fenomenologici (in vigore dalla pubblicazione della comunicazione)

La comunicazione introduce tre nuovi codici dei “fenomeni” da valorizzare n Nuovi codici fenomenologici (in vigore dalla pubblicazione della comunicazione)

La comunicazione introduce tre nuovi codici dei “fenomeni” da valorizzare nella compilazione della SOS, selezionando quello o quelli più coerenti con le caratteristiche dell’operatività osservata:

• Il codice I01 – Truffe e frodi agevolate dalla tecnologia deve essere utilizzato in presenza di sospetto di condotte fraudolente e di connesso riciclaggio.
• Il codice I04 – Money muling si applica in presenza di sospetto relativo al reclutamento di soggetti, più o meno consapevoli, per trasferire denaro ottenuto illegalmente: può essere usato in alternativa al codice I01, quando manchino elementi che riconducano a condotte fraudolente specifiche, oppure in abbinamento a esso quando ne ricorrano i presupposti.
• Il codice I05 – Cybercrime riguarda i sospetti di reati informatici non riconducibili alle ipotesi di I01, caratterizzati dall’alterazione o dall’abuso di sistemi informatici e strumenti digitali attraverso sofisticate tecniche di compromissione finalizzate a ottenere vantaggi economici illeciti.

A partire dalla pubblicazione della comunicazione cessa di applicarsi lo schema rappresentativo di comportamenti anomali in materia di frodi informatiche emanato con la comunicazione UIF del 5 febbraio 2010 e il codice fenomenologico I02 – Frodi informatiche, che non sarà più disponibile per la compilazione delle segnalazioni.

Il punto

La comunicazione dell’8 giugno 2026 è la presa d’atto formale di una trasformazione strutturale del rischio: la frode digitale è diventata sempre più spesso la fase genetica del riciclaggio, e il sistema dei controlli non può continuare a trattarle come due universi separati.

Tre elementi meritano attenzione particolare per chi opera quotidianamente in ambito antiriciclaggio. Il primo è l’ingresso del dato tecnico digitale tra gli elementi rilevanti per la valutazione del sospetto: IP, fingerprint, geolocalizzazione, dispositivi virtualizzati non sono più soltanto strumenti di cybersecurity, ma indicatori di anomalia a pieno titolo nell’analisi AML. I soggetti obbligati che non dispongono ancora di un raccordo strutturato tra le funzioni antifrode e antiriciclaggio si trovano ora di fronte a un richiamo esplicito in tal senso.

Il secondo riguarda il money muling come fattispecie autonoma. La comunicazione chiarisce che la rilevanza antiriciclaggio del fenomeno non dipende dalla possibilità di collegare l’operatività a una specifica frode: è sufficiente che le caratteristiche dell’operativamente – rapporti di recente apertura, soggetti vulnerabili, flussi rapidi e frazionati con l’estero, causali generiche – configurino un ragionevole sospetto di riciclaggio. Questo ha implicazioni dirette sulla perimetrazione dell’obbligo segnaletico.

Il terzo è la qualità della SOS come leva investigativa. La UIF richiama i soggetti obbligati a includere nelle segnalazioni elementi tecnici dettagliati perché’ questi consentono di ricostruire network criminali più ampi, spesso transnazionali. Una SOS povera di dati tecnici non è soltanto una segnalazione meno utile: è una occasione persa di contribuire a un’analisi finanziaria che vada oltre il singolo caso.