Per ogni dollaro che la polizia internazionale è riuscita a recuperare dai sindacati informatici operanti in Africa questa estate, quasi tre dollari erano già svaniti. Quando INTERPOL — l'organismo intergovernativo che coordina la cooperazione di polizia tra i confini nazionali — ha annunciato i risultati dell'Operazione Serengeti III il 22 ottobre 2026, i dati principali sembravano un trionfo decisivo della polizia transfrontaliera. Operando in 20 paesi africani insieme agli investigatori statunitensi tra il 29 giugno e il 31 agosto 2026, le autorità hanno arrestato 1.462 sospetti, smantellato 10.909 reti dannose e recuperato oltre 105 milioni di dollari di fondi illeciti. Sotto la celebrazione, tuttavia, si nasconde una metrica molto più sobria: gli investigatori finanziari hanno collegato le stesse reti criminali a perdite superiori a 385 milioni di dollari su 65.929 vittime identificate.

Quel deficit di 280 milioni di dollari è la vera storia dell'Operazione Serengeti III. Il messaggio di fondo è netto: il cybercrime africano è maturato da operazioni solitarie in camere da letto a una catena di fornitura industrializzata costruita su broker di accesso iniziale, call center gestiti dall'estero, reti elettriche statali derubate e rotaie cripto programmabili che trasferiscono capitali rubati oltre confine molto prima che la polizia riesca a ottenere un mandato.

Tre anni di contrasto in escalation

Il peso di quel divario di recupero emerge chiaramente osservando la traiettoria triennale dell'operazione stessa. Cofinanziata dall'Unione Europea e dal progetto Global Action on Cybercrime Enhanced (GLACY-e) del Consiglio d'Europa, l'Operazione Serengeti III è la terza ondata annuale del raid di contrasto informatico di punta di INTERPOL in Africa, dopo l'ondata inaugurale di fine 2024 e l'Operazione Serengeti 2.0 a metà 2025.

Confrontata con l'Operazione Serengeti 2.0, condotta nella stessa finestra giugno-agosto del 2025 in Angola, Benin, Camerun Repubblica del Congo, Costa d'Avorio, Repubblica Democratica del Congo, Eswatini, Gabon, Gambia, Ghana, Kenya, Mozambico, Nigeria, Ruanda, Senegal, Sudafrica, Tanzania, Uganda, Zambia e Zimbabwe, il bottino di quest'anno rivela un inesorabile gioco del gatto e del topo. Nel 2025, gli investigatori avevano arrestato 1.209 sospetti, abbattuto 11.432 infrastrutture dannose e sequestrato 97,4 milioni di dollari. Quest'anno, gli arresti sono aumentati del 20,9% e i recuperi patrimoniali dell'8%, mentre il numero di reti smantellate è diminuito del 4,6%.

La capacità di polizia sta chiaramente migliorando, fortemente agevolata dalla telemetria di threat intelligence privata. INTERPOL si è appoggiata a un ampio gruppo di partner aziendali e istituzionali — tra cui Group-IB, Kaspersky, Fortinet, Team Cymru, Uppsala Security, Cybercrime Atlas, Meta, la Global Anti-Scam Alliance e l'autorità zimbabwiana per le poste e le telecomunicazioni (POTRAZ) — per mappare i server di comando e controllo e fornire alla polizia locale indirizzi IP azionabili e registri di dominio prima che iniziassero i raid.

Tuttavia, anche con la telemetria del settore privata a supporto delle operazioni di polizia, l'economia di fondo continua a favore dei sindacati. Secondo l'African Cyberthreat Assessment Report 2026 di INTERPOL stessa, pubblicato a giugno 2026 con il sostegno del Foreign, Commonwealth and Development Office britannico, le perdite da cybercrime nel continente sono più che raddoppiate tra il 2024 e il 2025, passando da 192 a 484 milioni di dollari. In Africa occidentale e meridionale, i reati informatici rappresentano ormai oltre il 30% di tutti i crimini registrati. Le forze dell'ordine crescono linearmente tramite task force stagionali; la liquidità criminale si compone alla velocità del software.

Access broker e il punto cieco degli stablecoin

Oltre ai conteggi degli arresti continentali, i risultati dell'applicazione della legge in Nigeria nella Serengeti III parlano direttamente di un collo di bottiglia strutturale nel modo in cui l'Africa occidentale monitora il valore digitale. Piuttosto che raccogliere dozzine di piccoli operatori di strada, gli investigatori hanno preso di mira infrastrutture aziendali ad alto volume e rotaie di riciclaggio transfrontaliere.

In un raid, le autorità nigeriane hanno arrestato un singolo sospetto che avrebbe gestito un'operazione di phishing su scala industriale e Business Email Compromise (BEC), una classe di frode in cui gli attaccanti si fingono dirigenti o fornitori fidati per dirottare pagamenti aziendali. Il sospetto aveva raccolto credenziali software e costruito un database di circa 2,1 milioni di indirizzi email. Quel dettaglio coincide direttamente con la valutazione delle minacce di giugno 2026, che ha segnalato l'Africa occidentale come l'hub più attivo del continente per le rilevazioni BEC.

Invece di condurre truffe isolate, i principali attori di minaccia locali ora operano come grossisti B2B. Agendo come broker di accesso iniziale, raccolgono credenziali aziendali su larga scala per compromettere servizi cloud, flussi di lavoro ERP (enterprise resource planning) e conti finanziari. Una volta che un attaccante possiede credenziali aziendali valide, i dati del settore mostrano che le difese perimetrali tradizionali bloccano solo il 37% delle loro azioni successive.

Una seconda indagine nigeriana sottolinea perché recuperare i capitali rubati è diventato così difficile. Le autorità hanno arrestato il presunto organizzatore di un anello di frode internazionale sugli investimenti promosso tramite app di messaggistica. La contabilità forense ha tracciato oltre 2,4 milioni di dollari di presuti proventi criminali attraverso l'operazione, con la maggior parte del denaro riciclato tramite transazioni in criptovalute.

Quello squilibrio tra velocità di regolamento e architettura regolamentare spiega perché i tassi di recupero siano al 27% — 105 milioni di dollari recuperati contro perdite superiori a 385 milioni. Nell'Africa subsahariana, la ricezione di valore on-chain ha superato i 205 miliardi di dollari all'anno, con la Nigeria che guida la quota principale dei volumi peer-to-peer (P2P) e di stablecoin. I sindacati sfruttano gli stessi ponti di liquidità istantanei in USDT e USDC — i due più grandi stablecoin ancorati al dollaro — che gli importatori legittimi usano per aggirare la scarsità di valuta estera.

Composti di frode, rig di mining e energia rubata

Fuori dall'Africa occidentale, l'Operazione Serengeti III ha esposto come i sindacati internazionali usino le giurisdizioni africane come basi fisiche per frodi globali e hardware illeciti.

In Uganda, la polizia ha smantellato due anelli di frode transnazionali e arrestato 365 cittadini stranieri — un quarto completo di tutti gli arresti nei 21 paesi partecipanti (le 20 nazioni africane più gli Stati Uniti). Specchio dei composti di truffa del Sud-est asiatico, questi call center rotanti usavano terminali di trading falsi e siti web contraffatti per spogliare le vittime in tutta Asia dei loro fondi pensione. Un riscontro indipendente dalla valutazione di giugno 2026 di INTERPOL ha mostrato che il 72% delle nazioni africane analizzate segnala ora centri di truffa attivi entro i propri confini — parte di un'economia globale di frode in cui il Financial Crimes Enforcement Network (FinCEN) statunitense ha recentemente collegato 12,7 miliardi di dollari a composti di truffa su asset digitali all'estero. Il comunicato di INTERPOL lascia tuttavia domande critiche senza risposta: omette le nazionalità dei detenuti e non precisa se quei lavoratori fossero operatori volontari o manodopera traffica coatta in schiavitù da debito.

In Angola, gli investigatori hanno chiuso due centri illegali di mining cripto, arrestando nove sospetti e sequestrando oltre 2.000 rig di mining insieme a sei stazioni elettriche illecite del valore di oltre 1 milione di dollari. Attingendo direttamente alle reti elettriche pubbliche per sovvenzionare il mining proof-of-work ad alta intensità energetica — il processo guidato dal calcolo mediante cui i rig di mining guadagnano ricompense in criptovalute — queste operazioni convergono scarsa elettricità statale in privato ricavo criminale.

Altrove, i raid hanno smantellato app predatorie di estorsione tramite microprestiti mobili in Tanzania, un anello di frode sull'importazione di veicoli via social media in Gabon e un sindacato informatico di 30 sospetti nella Repubblica del Congo.

L'IA entra nell'arsenale criminale

Sopra ogni conteggio degli arresti dell'Operazione Serengeti III aleggia la rapida militarizzazione dell'IA. Sebbene il recente rapporto operativo di INTERPOL accenni solo di sfuggita alla tecnologia emergente, la valutazione dell'agenzia di giugno 2026 ha stabilito una base netta: fino al 55% dei reati informatici segnalati nei 36 paesi africani analizzati ora coinvolge strumenti di IA.

I gruppi criminali non sono più vincolati dalla velocità di battitura umana, dagli errori grammaticali o dalle barriere linguistiche locali. stanno schierando modelli generativi per automatizzare il spear-phishing su scala e — molto più preante per il settore fintech africano — combinando dati personali realmente trapelati da violazioni di identità nazionali e telecomunicazioni con biometrie generate dall'IA per costruire identità sintetiche. Questi profili sintetici aggirano attivamente i legacy Know Your Customer (KYC) — i controlli di verifica dell'identità che banche e fintech eseguono all'onboarding — e i controlli di liveness su piattaforme di mobile money e banking digitale. Una volta onboardati, tali conti "sleeper" rimangono dormienti per settimane per eludere i trigger di velocità prima di eseguire prelievi sincronizzati e programmatici.

Dagli arresti alle condanne

Il direttore del cybercrime di INTERPOL Neal Jetton ha notato che, sebbene il cybercrime sia sempre più senza confini, la cooperazione internazionale rimane uno degli strumenti più efficaci per smantellare le reti criminali e recuperare gli asset. La base legislativa prende lentamente forma, con 17 paesi africani che nel 2025 hanno aggiornato le loro leggi sul cybercrime per semplificare la condivisione transfrontaliera di prove.

Eppure, uno sprint estivo di due mesi resta una risposta episodica a una minaccia continua e automatizzata. Finché i regolatori africani, le telecomunicazioni, gli exchange cripto e le forze di polizia non costruiranno condotte di intelligence transfrontaliere in tempo reale — e non trasformeranno questi 1.462 arresti in condanne — i sindacati criminali considereranno operazioni come la Serengeti III semplicemente il costo di fare affari.