Dodici volti restituiti alla luce. Non grazie a una soffiata nel deep web, ma a un’operazione che ha scavato nel cuore del commercio digitale. L’Operazione Mad Hatter, coordinata da Europol e portata avanti dalla Polizia Postale italiana con Matrice Digitale, ha portato al salvataggio di 12 minori e all’arresto di 3 sospetti. I restanti 6 indagati sono stati denunciati. Ma il vero shock non è il numero delle vittime: è il dove.
Non dark web. Non server nascosti. L’infrastruttura usata per la distribuzione di materiale di abuso sessuale su minori (CSAM) si è mimetizzata dentro piattaforme commerciali legittime, sfruttando lo stesso traffico di e-commerce autorizzati. Un falso negozio online che promette scarpe firmate al 70% di sconto non è solo una truffa: potrebbe essere un nodo in una rete criminale globale per lo sfruttamento minorile.
Secondo CyberSec Italia e Cybertrends, il numero di falsi store online in Italia è schizzato alle stelle. Questi siti clonano brand noti, usano design professionali, certificati SSL e persino recensioni fasulle. Ma non puntano solo a rubare carte di credito: servono da copertura per attività ben più gravi. L’ENISA, nel suo Threat Landscape 2025, segnala che il 97% delle infrastrutture criminali osservate oggi imita modelli di business legittimi. La truffa non è più un incidente di percorso: è il modello di business.
Il collasso della fiducia digitale
L’e-commerce non è più solo un mercato: è un ecosistema di fiducia. Ma quando ogni sconto troppo allettante potrebbe nascondere un anello di sfruttamento minorile, quella fiducia vacilla. Non si tratta di paranoia. Si tratta di dati. I falsi store identificati nell’ambito dell’Operazione Mad Hatter usavano lo stesso stack tecnologico, gli stessi provider cloud e gli stessi gateway di pagamento delle aziende legittime. La differenza? I criminali hanno spostato il carico criminale dentro canali già normalizzati.
CyberSec Italia ha rilevato che il 68% dei siti contraffatti utilizza sottodomini che imitano quelli ufficiali — esempi come shop-nike-official.com, checkout-adidas.deals — spesso non monitorati dai sistemi di brand protection tradizionali. Questi domini non vengono registrati da attivisti o hacker solitari, ma da reti organizzate che sfruttano servizi DNS e hosting commerciali, pagati con carte anonime o criptovalute.
E il pagamento? Microtransazioni sotto i 5 euro. Secondo Cybertrends (2026), il 73% dei ring di monetizzazione del CSAM usa questa tecnica per aggirare i sistemi di rilevamento frodi. Piccole transazioni, difficili da segnalare, che passano sotto il radar delle banche e dei gateway come Stripe o PayPal. Il risultato: un flusso di denaro invisibile, che alimenta abusi e replica infrastrutture.
La difesa non è più opzionale
Europol ha risposto con il framework INOCN (Internet Organised Crime Network), un sistema condiviso di takedown coordinati che ha dimostrato un tasso di riduzione del 92% nel re-spawning delle infrastrutture criminali, quando applicato entro 48 ore dalla rilevazione. Ma INOCN funziona solo se le aziende segnalano in tempo. E troppe aziende non sanno nemmeno cosa monitorare.
La difesa moderna richiede un cambio di prospettiva. Non basta proteggere il dominio principale. Bisogna mappare tutti i domini di terze parti legati al brand — inclusi quelli di rivenditori, affiliati e marketplace. Il 68% dei falsi store nasce da sottodomini non autorizzati, spesso generati automaticamente da piattaforme di hosting condiviso. E nessun SOC oggi li include di default nei threat intel feed.
Inoltre, le aziende devono estendere le audit ai gateway di pagamento, cercando pattern di microtransazioni ricorrenti verso account sospetti. Non è solo un problema di compliance: è un dovere etico. Quando un brand viene clonato per finanziare abusi minorili, la responsabilità non è solo legale. È sociale.
L’Operazione Mad Hatter non è un’anomalia. È un segnale. Il confine tra frode e crimine sessuale è stato cancellato. E il web commerciale è diventato il terreno di caccia preferito. La prossima volta, il negozio che offre uno sconto irresistibile potrebbe non voler rubare la tua carta: potrebbe usare i tuoi dati per alimentare un inferno che nessuno vuole vedere.