1. Premessa

Con comunicazione dell'8 giugno 2026 (la “Comunicazione”), la UIF ha richiamato l'attenzione dei soggetti obbligati sulla crescente rilevanza, ai fini antiriciclaggio, delle operatività connesse con truffe, frodi agevolate dalla tecnologia, money muling e altri reati informatici.

Il documento si inserisce in un contesto di forte crescita delle SOS riconducibili a tali fenomeni e segnala l'esigenza di rafforzare in modo sostanziale i presìdi di individuazione, valutazione e segnalazione delle anomalie.

Il messaggio della UIF è chiaro: questi fenomeni non devono essere letti come meri eventi antifrode o di sicurezza informatica, ma come contesti potenzialmente rilevanti anche ai fini della collaborazione attiva AML.

Per gli intermediari ciò implica una maggiore integrazione tra funzioni AML, antifrode, sicurezza informatica, canali digitali e strutture operative, nonché una più attenta valorizzazione nelle SOS di elementi tecnici, operativi e soggettivi.

2. Profili di maggiore attenzione

La Comunicazione richiama, anzitutto,

• le truffe e le frodi agevolate dalla tecnologia, rispetto alle quali la UIF valorizza non solo i classici schemi di phishing, impersonation scam, BEC, romance scam, fake charity scam o investment scam,
• gli indicatori di anomalia che emergono in fase di onboarding e operatività: incoerenza dei dati forniti, frequenti variazioni di recapiti e dispositivi, accessi da IP condivisi, uso anomalo di VPN/proxy, incongruenze geografiche, manipolazioni dei device fingerprint, discordanza tra beneficiario indicato e intestatario effettivo del rapporto, ricorrenza di storni, recall e flussi ravvicinati verso conti anche esteri o verso cripto-attività.

Un secondo focus riguarda il money muling, ossia il transito di fondi illeciti tramite rapporti o strumenti di pagamento messi a disposizione da soggetti consapevoli o inconsapevoli. La UIF richiama, in particolare, conti, carte o wallet di recente apertura intestati a soggetti inesperti o vulnerabili, dati di contatto condivisi tra più soggetti, flussi in accredito e addebito ravvicinati e frazionati, causali generiche o incoerenti, operatività con l'estero, richieste di recall difficilmente soddisfatte e scarsa collaborazione dell'intestatario; viene precisato che il mero azzeramento del saldo non è, da solo, sufficiente a fondare il sospetto.

La UIF dedica, inoltre, uno specifico rilievo al cybercrime e, più in generale, ai reati informatici come possibili contesti di riciclaggio, richiamando fenomeni quali malware, ransomware, APT, attacchi man-in-the-middle, D-DOS, utilizzo di identità fittizie o sintetiche, deepfake, strumenti di anonimizzazione, wallet auto-ospitati, VASP no-KYC, mixer, bridge e virtual IBAN. Il tratto comune è la crescente difficoltà di tracciamento dei flussi e la necessità, per i destinatari, di utilizzare in chiave AML anche informazioni normalmente presidiate in prima battuta dalle funzioni antifrode o cyber.

3. Cosa cambia sul piano operativo

L'aspetto più importante della Comunicazione non è l'elenco delle casistiche, ma il livello di aspettativa che la UIF esprime verso i destinatari. In particolare, l'Unità richiede di evitare automatismi segnaletici e approcci meramente difensivi e invita a selezionare i casi realmente meritevoli di SOS sulla base della complessità del contesto,dell'importo e della frequenza delle operazioni, della possibile esistenza di reti criminali più ampie, della presenza di denunce o input investigativi e del concreto valore aggiunto che la segnalazione può offrire.

La UIF insiste, poi, su due profili centrali. Il primo è la tempestività: la SOS deve essere effettuata il prima possibile e, ove possibile, prima dell'esecuzione dell'operazione, per consentire interventi rapidi a tutela delle vittime e delle indagini; analoga tempestività è richiesta nelle risposte agli approfondimenti della UIF. Il secondo è la qualità del contenuto segnaletico: occorre valorizzare correttamente i dati strutturati, descrivere in modo chiaro i flussi e i collegamenti tra soggetti, includere gli elementi tecnici rilevanti
(quali IP, device, VPN, fingerprint, geolocalizzazione) ed evitare testi standardizzati e ripetitivi.

La Comunicazione richiama, inoltre, l'importanza della condivisione delle informazioni tra più destinatari coinvolti nella medesima operatività, nel rispetto dell'articolo 39 del d.lgs. 231/2007. Per gli intermediari questo si traduce, in concreto, nell'esigenza di verificare se i flussi informativitra AML, antifrode, sicurezza informatica, operations, rete commerciale e canali digitali siano oggi effettivamente idonei a intercettare queste casistiche in modo tempestivo e completo.

4. Nuovi fenomeni UIF

Per agevolare la classificazione delle segnalazioni, la UIF introduce tre nuovi codici fenomenologici da valorizzare nelle SOS.

Contestualmente, la UIF precisa che, dalla pubblicazione della Comunicazione, non trova più applicazione lo schema rappresentativo dei comportamenti anomali del 5 febbraio 2010 in materia di frodi informatiche e non sarà più disponibile il codice I02 - Frodi informatiche.

5. Prime azioni suggerite

Alla luce della Comunicazione, appare opportuno valutare con priorità:

1. l'aggiornamento di procedure, manuali SOS, tassonomie interne e sistemi di classificazione per recepire i nuovi fenomeni I01, I04 e I05 e dismettere il previgente I02;
2. il rafforzamento dei flussi informativi tra AML, antifrode e funzioni cyber, in modo da consentire una lettura integrata delle anomalie;
3. la verifica della capacità delle strutture competenti di predisporre SOS tempestive, selettive e non standardizzate, con adeguata valorizzazione degli elementi tecnici e del contesto;
4. la diffusione interna della Comunicazione e l'aggiornamento formativo del personale e dei collaboratori coinvolti nella rilevazione e valutazione delle operazioni anomale, come espressamente richiesto dalla UIF;
5. la revisione delle regole di monitoraggio e degli alert su pagamenti istantanei, virtual IBAN, cripto-attività, rapporti di recente apertura, incongruenze tra ordinante e beneficiario, anomalie di geolocalizzazione e utilizzo anomalo di device, IP, VPN o proxy.

In definitiva, la Comunicazione dell'8 giugno 2026 conferma che il presidio AML sugli illeciti digitali non può più essere trattato come un ambito accessorio o separato rispetto ai controlli antifrode e cyber e l'assetto dei presìdi deve essere effettivamente in grado di intercettarli, qualificarli correttamente e integrarli nel processo di collaborazione attiva.