Si sente spesso parlare di trattamento illecito di dati, alcune volte anche in modo improprio. Con l’emanazione del Regolamento (UE) 2016/679, comunemente noto come GDPR, e il successivo adeguamento del Codice della privacy, è mutato funditus il sistema delle responsabilità connesse al trattamento dei dati. Ne è uscito rafforzato il ruolo delle sanzioni amministrative, con significtiva contrazione dell’area di rilevanza penale.
La violazione della disciplina privacy può determinare conseguenze diverse a seconda della natura della condotta, della tipologia di dati trattati, del ruolo assunto dal soggetto agente. In alcuni casi il trattamento illecito di dati integra un illecito amministrativo, suscettibile di essere sanzionato dal Garante per la protezione dei dati personali; in altri, quando ricorrono specifici presupposti di offensività, può assumere rilevanza penale ai sensi del Codice privacy.
L’obiettivo del presente articolo è offrire una ricostruzione giuridica chiara delle responsabilità derivanti daltrattamento illecito di dati, distinguendo il piano amministrativo da quello penale e soffermandosi, in particolare, sul delitto previsto dall’art. 167 del D. Lgs. 196/2003, nonché sulle ulteriori fattispecie incriminatrici introdotte in materia privacy.
Le sanzioni amministrative per trattamento illecito di dati
Nel sistema delineato dal Regolamento (UE) 2016/679, il trattamento illecito di dati trova anzitutto risposta nell’apparato sanzionatorio amministrativo. Il GDPR, superando l’impostazione della precedente direttiva 95/46/CE, non si limita infatti a demandare agli Stati membri la previsione di sanzioni effettive e dissuasive, ma introduce direttamente un articolato sistema di sanzioni pecuniarie, destinato a presidiare l’osservanza dei principi fondamentali e degli obblighi gravanti su titolari e responsabili del trattamento.
La disposizione centrale è l’art. 83 GDPR, che prevede sanzioni amministrative pecuniarie di importo particolarmente elevato, differenziate in relazione alla tipologia di violazione. Alcune inosservanze possono essere sanzionate fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo; altre, considerate più gravi, possono condurre a sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo.
Rientrano in quest’ultima categoria, tra le altre, le violazioni dei principi di base del trattamento, comprese le condizioni di liceità, le regole sul consenso, i diritti degli interessati e le disposizioni sul trasferimento di dati personali verso Paesi terzi o organizzazioni internazionali.
Il trattamento illecito di dati, sul piano amministrativo, può dunque derivare dalla mancanza di una valida base giuridica, dall’assenza o invalidità del consenso, dall’utilizzo dei dati per finalità incompatibili con quelle originarie, dall’omessa informativa, dalla violazione dei diritti dell’interessato o dalla mancata adozione di misure tecniche e organizzative adeguate.
La sanzione non è tuttavia automatica nella sua misura massima, poiché l’autorità di controllo è chiamata a valutare, caso per caso, la natura, la gravità e la durata della violazione, il carattere doloso o colposo della condotta, le categorie di dati personali coinvolti, le misure adottate per attenuare il danno e il grado di cooperazione con il Garante.
L’art. 166 del Codice privacy
Il coordinamento tra la disciplina europea e quella nazionale è svolto dall’art. 166 del D. Lgs. 196/2003, come modificato dal D. Lgs. 101/2018. La norma individua il Garante per la protezione dei dati personali quale autorità competente ad applicare le sanzioni amministrative previste dalGDPRe dalCodice privacy,costruendo un sistema sanzionatorio integrato, nel quale il precetto deriva spesso dalla combinazione tra disposizioni del Regolamento europeo e norme interne di dettaglio.
Questa tecnica normativa rende la valutazione del trattamento illecito di dati particolarmente complessa. L’interprete non può infatti limitarsi a verificare in modo astratto la violazione di una regola privacy, ma deve individuare con precisione quale obbligo sia stato disatteso, quale disposizione lo preveda, quale categoria di dati sia coinvolta e quale regime sanzionatorio sia applicabile.
L’art. 166 richiama, in relazione a specifiche violazioni del Codice privacy, le sanzioni di cui all’art. 83, paragrafi 4 e 5, del GDPR, confermando che la risposta amministrativa può essere particolarmente afflittiva anche quando non ricorrono i presupposti della responsabilità penale.
Il quadro che ne deriva è quello di un apparato sanzionatorio articolato, nel quale il trattamento illecito di dati può essere accertato dall’Autorità garante attraverso un procedimento amministrativo autonomo, distinto dal processo penale e finalizzato alla verifica della conformità del trattamento ai principi di liceità, correttezza, trasparenza, minimizzazione, sicurezza e accountability.
Il trattamento illecito di dati: l’art. 167 del Codice privacy
Il trattamento illecito di dati assumerilevanza penaleai sensi dell’art. 167 del D. Lgs. 196/2003. Si tratta della fattispecie centrale dell’apparato penalistico in materia di protezione dei dati personali, ma anche di una norma la cui portata applicativa è stata profondamente modificata dal D. Lgs. 101/2018, adottato per adeguare il Codice privacy al Regolamento (UE) 2016/679.
La riforma ha segnato un passaggio importante: il reato di trattamento illecito di dati non è più costruito come clausola penale generale posta a presidio di qualunque violazione della disciplina privacy, ma come fattispecie selettiva, destinata a operare soltanto in presenza di condotte qualificate da un più intenso grado di offensività.
Nel sistema previgente, l’art. 167 puniva il trattamento di dati personali compiuto in violazione di un ampio numero di disposizioni del Codice privacy, tra cui anche quelle relative al consenso dell’interessato. La formulazione attuale ha invece ristretto il campo del penalmente rilevante.
La mancata acquisizione del consenso, che in passato poteva assumere rilievo anche penale se accompagnata dagli ulteriori presupposti richiesti dalla norma, è oggi tendenzialmente attratta nell’area dell’illecito amministrativo, in particolare nell’ambito delle violazioni dei principi di liceità del trattamento sanzionate dal GDPR.
Questa scelta esprime un mutamento di prospettiva: non ogni violazione delle regole sul trattamento dei dati personali integra un reato, poiché l’intervento penale è riservato alle ipotesi in cui l’offesa alla sfera dell’interessato risulti concretamente apprezzabile.
La disposizione vigente contempla tre diverse ipotesi di trattamento illecito di dati penalmente rilevante.
Il primo comma punisce chi, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, operando in violazione degli artt. 123, 126 e 130 del Codice privacy, oppure del provvedimento di cui all’art. 129, arreca nocumento all’interessato.
Il riferimento è, dunque, a specifiche violazioni in materia di comunicazioni elettroniche, dati relativi al traffico, dati relativi all’ubicazione, elenchi dei contraenti e comunicazioni indesiderate. La pena prevista è la reclusione da sei mesi a un anno e sei mesi. La fattispecie non riguarda quindi genericamente qualsiasi dato personale, ma un’area determinata di trattamenti, connessa soprattutto all’utilizzo di dati nell’ambito dei servizi di comunicazione elettronica e delle comunicazioni promozionali o indesiderate.
Il secondo comma dell’art. 167 disciplina un’ipotesi più grave di trattamento illecito di dati, punita con la reclusione da uno a tre anni. La norma riguarda il trattamento delle categorie particolari di dati personali di cui all’art. 9 GDPR e dei dati relativi a condanne penali e reati di cui all’art. 10 GDPR, quando il trattamento avvenga in violazione degli artt. 2-sexies e 2-octies del Codice privacy, delle misure di garanzia previste dall’art. 2-septies, oppure delle misure adottate ai sensi dell’art. 2-quinquiesdecies per i trattamenti che presentano rischi elevati nell’esecuzione di un compito di interesse pubblico.
La maggiore severità della pena si giustifica in ragione della particolare delicatezza dei dati coinvolti: dati sulla salute, dati biometrici, dati genetici, dati idonei a rivelare convinzioni religiose, opinioni politiche, appartenenza sindacale, orientamento sessuale, nonché informazioni relative a condanne penali e reati. In queste ipotesi, il trattamento illecito di dati può incidere in modo particolarmente penetrante sulla dignità, sull’identità personale e sulla libertà dell’interessato.
Il terzo comma estende la medesima pena prevista dal secondo comma al trasferimento illecito di dati personali verso un Paese terzo o un’organizzazione internazionale, quando il trasferimento avvenga al di fuori dei casi consentiti dagli artt. 45, 46 o 49 GDPR e arrechi nocumento all’interessato.
Anche in questo caso il legislatore non sanziona penalmente qualunque irregolarità formale nel trasferimento internazionale dei dati, ma soltanto la condotta sorretta dal dolo specifico di profitto o di danno e produttiva di un effettivo pregiudizio. La norma riflette l’importanza che il GDPR attribuisce alla circolazione transfrontaliera dei dati personali, ammissibile soltanto quando siano assicurate adeguate garanzie di protezione, mediante decisioni di adeguatezza, garanzie appropriate o specifiche deroghe.
Sotto il profilo strutturale, l’art. 167 configura il trattamento illecito di dati come reato di evento. La causazione del nocumento all’interessato non è un elemento esterno o meramente accessorio della fattispecie, ma costituisce parte integrante del fatto tipico. La riforma ha così superato le incertezze interpretative che avevano caratterizzato la precedente formulazione della norma, nella quale il nocumento era descritto con l’inciso “se dal fatto deriva nocumento”, alimentando il dibattito sulla sua qualificazione come elemento costitutivo del reato oppure come condizione obiettiva di punibilità.
Nella formulazione vigente, invece, il reato si perfeziona soltanto quando la condotta illecita determini una concreta lesione o compromissione della sfera giuridica dell’interessato. Il nocumento può consistere in un pregiudizio patrimoniale, in un danno alla reputazione, in una lesione della riservatezza, in una indebita esposizione della vita privata o in altra conseguenza apprezzabile derivante dalla gestione illecita dei dati personali.
Accanto all’evento di nocumento, la norma richiede il dolo specifico. L’agente deve operare al fine di trarre profitto per sé o per altri, oppure al fine di arrecare danno all’interessato. Anche questo elemento svolge una funzione selettiva essenziale.
Il trattamento illecito di dati penalmente rilevante non coincide con la mera negligenza organizzativa, con l’errore procedurale o con l’inadempimento formale agli obblighi privacy, ma presuppone una condotta consapevolmente orientata a un risultato ulteriore di profitto o di danno.
Il profitto non deve essere necessariamente patrimoniale in senso stretto, potendo consistere anche in un’utilità diversa, purché apprezzabile; la finalità di danno, invece, richiama la volontà di incidere negativamente sulla sfera dell’interessato. La presenza di tale elemento soggettivo impedisce di trasformare l’art. 167 in una norma penale di chiusura per ogni violazione del GDPR.
La fattispecie è inoltre aperta da una clausola di riserva, “salvo che il fatto costituisca più grave reato”, che impone di verificare, caso per caso, se la condotta integri un diverso delitto punito più severamente. Il trattamento illecito di dati può infatti intrecciarsi con altri reati, soprattutto quando la gestione abusiva delle informazioni personali avvenga attraverso accessi indebiti a sistemi informatici, sottrazione di archivi, frodi, minacce, diffamazione, interferenze illecite nella vita privata o condotte estorsive. La corretta qualificazione giuridica del fatto richiede quindi un esame puntuale non soltanto della normativa privacy, ma anche dell’intero contesto fattuale in cui il trattamento è stato realizzato.
Il nocumento all’interessato e il dolo specifico nel trattamento illecito di dati
Tra gli elementi che consentono di distinguere il trattamento illecito di dati penalmente rilevante dalla mera violazione amministrativa della normativa privacy, un ruolo decisivo è svolto dal nocumento arrecato all’interessato.
Nella formulazione vigente dell’art. 167 del D. Lgs. 196/2003, il nocumento non è più collocato in una posizione ambigua, come elemento eventualmente esterno alla struttura del reato, ma costituisce l’evento della fattispecie. Ciò significa che la condotta illecita deve produrre una conseguenza pregiudizievole concreta, idonea a incidere sulla sfera personale, patrimoniale, reputazionale o relazionale dell’interessato.
Il nocumento non deve essere necessariamente identificato con un danno patrimoniale in senso stretto. Nel contesto della protezione dei dati personali, esso può consistere anche nella perdita di controllo sulle proprie informazioni, nell’indebita esposizione di dati riservati, nella lesione dell’identità personale, nel turbamento della vita privata, nella compromissione della reputazione o nella sottoposizione dell’interessato a comunicazioni indesiderate, discriminazioni, pressioni commerciali o altre conseguenze sfavorevoli.
La sua funzione è quella di selezionare le condotte realmente offensive, impedendo che ogni irregolarità nella gestione dei dati personali venga automaticamente attratta nell’area del penalmente rilevante.
Accanto all’evento di nocumento, l’art. 167 richiede il dolo specifico. La condotta deve essere consapevolmente orientata verso un’utilità, anche non strettamente economica, oppure verso la produzione di un pregiudizio nella sfera dell’interessato.
La compresenza di dolo specifico ed evento di nocumento attribuisce alla fattispecie una struttura particolarmente selettiva. Da un lato, il fine di profitto o di danno consente di valutare l’atteggiamento soggettivo dell’autore; dall’altro, il nocumento impone di verificare l’effettiva incidenza della condotta sulla persona cui i dati si riferiscono. Il trattamento illecito di dati, dunque, diventa reato solo quando l’offesa non rimane confinata alla violazione astratta della regola privacy, ma si traduce in una concreta aggressione alla riservatezza, alla dignità o all’autodeterminazione informativa dell’interessato.
Comunicazione e diffusione illecita di dati personali su larga scala
Accanto al delitto di trattamento illecito di dati previsto dall’art. 167, il D. Lgs. 101/2018 ha introdotto nel Codice privacy l’art. 167-bis, dedicato alla comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala.
La disposizione risponde all’esigenza di reprimere condotte caratterizzate da una particolare capacità offensiva, perché aventi ad oggetto non il singolo dato personale isolatamente considerato, ma un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali riferibili a una pluralità significativa di interessati.
La norma punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri, comunichi o diffonda un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala, quando la condotta avvenga in violazione degli artt. 2-ter, 2-sexies e 2-octies del Codice privacy.
La medesima pena si applica anche a chi, nei casi in cui il consenso dell’interessato sia richiesto per le operazioni di comunicazione o diffusione, proceda senza acquisirlo. In entrambi i casi, la pena prevista è la reclusione da uno a sei anni, a conferma della maggiore gravità attribuita dal legislatore a condotte di circolazione abusiva massiva dei dati personali.
La fattispecie presenta una sua autonomia rispetto al trattamento illecito di dati di cui all’art. 167, perché concentra la risposta penale sulle attività di comunicazione e diffusione di archivi automatizzati. La comunicazione presuppone la trasmissione dei dati a uno o più soggetti determinati; la diffusione, invece, consiste nella messa a disposizione delle informazioni a una pluralità indeterminata di destinatari. In entrambi i casi, il disvalore della condotta risiede nella perdita di controllo sui dati personali e nella loro circolazione abusiva oltre la sfera consentita dall’ordinamento.
Particolarmente rilevante è il riferimento al trattamento “su larga scala”, espressione utilizzata dal GDPR ma non definita in termini numerici rigidi. Essa impone una valutazione concreta dell’ampiezza dell’archivio, del numero degli interessati coinvolti, del volume dei dati, della durata del trattamento e dell’estensione geografica o organizzativa dell’operazione.
L’art. 167-bis è dunque destinato a operare nei casi in cui la comunicazione o diffusione illecita non riguardi un episodio marginale, ma investa un patrimonio informativo strutturato e suscettibile di incidere significativamente sulla riservatezza e sull’autodeterminazione informativa di una pluralità di persone.
Acquisizione fraudolenta di dati personali e archivi automatizzati
Tra le nuove fattispecie introdotte dal D. Lgs. 101/2018 assume particolare rilievo anche l’art. 167-ter del Codice privacy, che punisce l’acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala. La norma si colloca accanto al delitto di trattamento illecito di dati e alla comunicazione o diffusione illecita di cui all’art. 167-bis, completando il presidio penale rispetto alle condotte che riguardano archivi automatizzati contenenti dati personali riferibili a una pluralità significativa di interessati.
L’art. 167-ter punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri ovvero di arrecare danno, acquisisca con mezzi fraudolenti un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali oggetto di trattamento su larga scala. La pena prevista è la reclusione da uno a quattro anni.
La fattispecie è costruita come reato commissivo a dolo specifico alternativo: l’agente deve procurarsi la disponibilità dell’archivio mediante una condotta fraudolenta e deve agire perseguendo una finalità di profitto, anche non necessariamente patrimoniale, oppure una finalità di danno.
Il riferimento ai “mezzi fraudolenti” consente di ricomprendere artifici, raggiri, simulazioni, falsi pretesti, espedienti ingannatori o condotte comunque idonee a eludere la vigilanza del soggetto che detiene legittimamente l’archivio. Non è sufficiente, invece, una mera allegazione non veritiera priva di reale capacità decettiva. La fraudolenza deve costituire lo strumento attraverso cui l’autore riesce ad acquisire l’archivio o una sua parte sostanziale, sottraendolo alla disponibilità lecita del titolare o comunque ottenendone un indebito controllo.
La fattispecie tutela certamente la riservatezza e l’autodeterminazione informativa degli interessati, ma presenta anche una dimensione patrimoniale. L’archivio automatizzato di dati personali, infatti, può costituire un bene economicamente apprezzabile, soprattutto quando sia organizzato, aggiornato e utilizzato nell’ambito dell’attività di impresa, di enti pubblici, di piattaforme digitali o di servizi professionali.
Per questa ragione, l’art. 167-ter può essere letto come reato plurioffensivo: accanto alla tutela degli interessati, viene in rilievo anche la protezione del soggetto che detiene legittimamente l’archivio e lo gestisce in conformità alla normativa.
Il rapporto con il trattamento illecito di dati è particolarmente significativo. L’art. 167-ter non punisce la generica irregolarità del trattamento, ma una condotta di apprensione fraudolenta di un patrimonio informativo strutturato. Quando, dopo l’acquisizione fraudolenta, l’agente proceda anche alla comunicazione o diffusione dell’archivio, potrà porsi un problema di concorso con l’art. 167-bis.
In tali ipotesi, la successiva divulgazione dei dati non appare sempre assorbita nell’acquisizione, poiché determina un’offesa ulteriore e più intensa alla riservatezza degli interessati, esponendo le informazioni personali a una circolazione incontrollata.
Trattamento illecito di dati, responsabilità dell’ente e modelli organizzativi
Il rapporto tra trattamento illecito di dati e responsabilità degli enti ai sensi del D. Lgs. 231/2001 costituisce un profilo di particolare interesse per imprese e società che gestiscono, in modo sistematico, dati personali di clienti, utenti, dipendenti, fornitori o altri soggetti interessati.
Nonostante il tema sia da tempo discusso, i delitti in materia di privacy non sono oggi stabilmente inseriti nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti..
Tale dato non deve tuttavia indurre a sottovalutare la rilevanza organizzativa della prevenzione del trattamento illecito di dati. La gestione dei dati personali costituisce infatti un’area centrale dellacomplianceaziendale, non soltanto per il rischio di sanzioni amministrative pecuniarie da parte del Garante, ma anche per le possibili conseguenze risarcitorie, reputazionali e operative derivanti da una violazione della normativa privacy.
In molte realtà imprenditoriali, il trattamento dei dati personali è parte essenziale del modello di business: si pensi alle piattaforme digitali, ai servizi online, alle società tecnologiche, agli operatori sanitari, agli enti di formazione, alle imprese che svolgono attività di marketing o profilazione, nonché a tutte le organizzazioni che trattano dati su larga scala.
In questa prospettiva, pur in assenza di una diretta inclusione dei reati privacy nel catalogo del D. Lgs. 231/2001, i modelli organizzativi e le procedure aziendali assumono un valore dirimente, anche al fine di evitare di incorrere nelle onerose sanzioni amministrative dell’art. 83 GDPR.
Assistenza legale in materia privacy
Il nostro Studio Legale assiste imprese, professionisti, enti e start-up in materia didata protection e privacy. Curiamo la redazione e revisione di informative, policy, accordi per il trattamento dei dati, contratti con responsabili esterni, procedure interne e modelli organizzativi. Lo Studio presta inoltre assistenza nella valutazione dei profili di responsabilità connessi al trattamento illecito di dati, nei rapporti con il Garante per la protezione dei dati personali e nell’analisi dei possibili risvolti penali derivanti da condotte illecite in materia privacy.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
L’home bankingè un formidabile strumento per l’amministrazione delle risorse finanziarie, ma nasconde un volto oscuro: esso amplia a dismisura l’esposizione al rischio informatico dei cittadini.
Come noto, le frodi realizzate attraverso piattaforme di home banking si caratterizzano per l’elevato grado di insidiosità, in quanto sfruttano la fiducia riposta dall’utente nei canali digitali dell’istituto di credito e la semplicità con cui si può disporre un bonifico bancario (anche istantaneo).
Il fenomeno delle frodi tramite home banking si colloca, inoltre, all’interno di un più ampio scenario di criminalità informatica in cui l’elemento tecnologico rappresenta anche il veicolo attraverso cui viene alterata la percezione del rischio da parte della vittima, inducendola a compiere atti dispositivi pregiudizievoli per il proprio patrimonio.
Il presente articolo si propone di esaminare le modalità attraverso cui vengono realizzate le frodi di home banking e, soprattutto, di illustrare ipossibili strumenti di tutelaa disposizione del correntista in caso di bonifico non autorizzato o altra operazione dispositiva indebita.
Tenteremo così di fornire al lettore un quadro chiaro dei rimedi esperibili, tanto in sede stragiudiziale quanto in sede giudiziale, evidenziando – fase per fase – le cautele che devono essere tempestivamente adottate per contenere il danno e perincrementare le possibilità di recupero delle sommeindebitamente sottratte a seguito di frode informatica.
Le principali tipologie di frodi home banking basate sull’ingegneria sociale
Le frodi perpetrate mediante sistemi di home banking si caratterizzano, nella maggior parte dei casi, per l’impiego di tecniche diingegneria sociale, finalizzate a indurre la vittima a compiere operazioni dispositive nella falsa convinzione di agire in un contesto sicuro e legittimo. Le condotte in alcuni casi sono rese possibili dalla violazione tecnica delle infrastrutture informatiche dell’istituto di credito mentre, altre volte, incidono sull’alterazione del processo decisionale dell’utente.
Tra le modalità più diffuse si annoverano le comunicazioni ingannevoli veicolate mediante posta elettronica, ilphishing, messaggi di testo o contatti telefonici, con cui i soggetti agenti simulano l’intervento di operatori delservizio clientidell’istituto di credito ovvero di appartenenti a reparti specializzati delleforze dell’ordine(Polizia Postale), prospettando l’esistenza di presunte anomalie o tentativi di accesso sospetti all’home banking.
Attraverso tali artifici, la vittima viene indotta a cliccare sulink malevoliche indirizzano a sessioni specifiche del servizio di home banking. Una volta acquisito il controllo delle funzionalità di home banking, il profitto illecito viene normalmente realizzato mediante l’esecuzione di bonifici bancari, frequentemente nella forma del bonifico istantaneo, verso conti correnti riconducibili a prestanome o a soggetti di difficile individuazione patrimoniale.
In alcuni casi, al fine di rendere più complessa la tracciabilità dell’operazione, i truffatori dispongono contestualmente la richiesta di finanziamenti immediati di importo analogo a quello sottratto, così da creare un’apparente giustificazione contabile del movimento di denaro. Si tratta di fattispecie particolarmente insidiose, nelle quali l’apparato repressivo penale incontra spesso significative difficoltà nell’identificazione degli autori materiali, rendendo centrale il tema della tutela civilistica e contrattuale del correntista vittima di frode tramite home banking.
Doveri di diligenza del cliente: il divieto di comunicazione dei codici di accesso
Nelle truffe tramite home banking, assume rilievo centrale il profilo della diligenza del correntista nella custodia e nell’utilizzo delle proprie credenziali di accesso e dei codici dispositivi. I sistemi di home banking sono strutturati su presidi di sicurezza che presuppongono la collaborazione attiva dell’utente, il quale è tenuto a mantenere riservati i propri dati identificativi, le password e i codici temporanei di autorizzazione delle operazioni, evitando di comunicarli a terzi in qualsiasi forma e per qualsiasi ragione.
La comunicazione dei codici di accesso all’home banking a soggetti estranei al rapporto bancario, ancorché indotta mediante artifici o raggiri, può essere valutata, sotto il profilo giuridico, qualecondotta connotata da colpa grave,idonea a incidere sull’accertamento delle responsabilità in caso di operazioni non autorizzate.
In particolare, laddove risulti che il correntista abbia fornito volontariamente a terzi le proprie credenziali o abbia autorizzato l’accesso remoto al servizio di home banking, la banca potrà eccepire l’inosservanza delle regole di utilizzo del servizio e l’inadempimento degli obblighi contrattuali di custodia dei dispositivi di sicurezza.
Ne consegue che la valutazione della condotta del cliente riveste un ruolo determinante nella ricostruzione causale dell’evento dannoso. La giurisprudenza e la prassi applicativa tendono, infatti, a distinguere le ipotesi in cui la frode di home banking derivi dall’aggiramento dei sistemi di protezione dell’istituto di credito, da quelle in cui l’evento sia stato reso possibile da un comportamento gravemente imprudente dell’utente.
In tale prospettiva, la circostanza per cuinon devono mai essere comunicati per via telefonica o telematica i dati di accesso all’home banking e i codici dispositivisi rivela fondamentale sul versante probatorio, incidendo in modo diretto sulle possibilità di ottenere il rimborso delle somme sottratte in sede stragiudiziale o giudiziale.
Ma nel caso in cui la frode informatica sia andata a segno cosa è possibile fare?
Fase 1: immediata comunicazione alla Banca dell’operazione di pagamento non autorizzata
Nel caso in cui il correntista si avveda dell’esecuzione di un’operazione di pagamento non autorizzata tramite home banking, questi deve darne tempestiva comunicazione all’istituto di credito, nel più breve tempo possibile. Tale comunicazione non deve essere limitata a un contatto informale con il servizio di assistenza telefonica, ma deve essereformulata per iscritto,in modo da consentire la tracciabilità della contestazione e la precisa individuazione dell’operazione disconosciuta.
Attraverso tale atto, il cliente manifesta in modo inequivoco la volontà di disconoscere la disposizione di pagamento. La rilevanza della segnalazione immediata risiede, in primo luogo, nella possibilità che l’operazione disposta tramite home banking non sia ancora giunta a esecuzione definitiva.
In particolare, perbonifici di importo elevatoo verso conti esteri, gli istituti di credito possono prevedere tempi tecnici di elaborazione e controlli interni di sicurezza, finalizzati a prevenire transazioni anomale. In tali ipotesi, l’intervento tempestivo del correntistapotrebbe consentire il blocco dell’operazioneprima che le somme vengano definitivamente accreditate sul conto del beneficiario, riducendo o addirittura evitando il pregiudizio patrimoniale.
Sotto il profilo giuridico, la comunicazione scritta alla banca dell’operazione di home banking non autorizzata assume altresì valore di atto dicontestazione formale, e a dimostrare l’assenza di volontà dispositiva da parte del cliente. Essa costituisce, inoltre, un elemento rilevante nella successiva fase di richiesta di rimborso, in quanto consente di documentare la tempestività della reazione del correntista e di escludere che l’inerzia abbia contribuito causalmente alla produzione del danno.
Fase 2: presentazione di una denuncia/querela alla polizia giudiziaria
A seguito della scoperta di un’operazione non autorizzata eseguita mediante home banking, si impone la necessità di presentare senza indugio querela presso unUfficio di polizia giudiziaria(Polizia di Stato, Carabinieri, Guardia di Finanza), contro ignoti, descrivendo in modo puntuale le circostanze di fatto note al momento della denuncia.
La querela è il presupposto per l’attivazione delle indagini penali volte all’accertamento delle responsabilità degli autori della frode e all’eventuale individuazione dei flussi finanziari illecitamente generati attraverso l’utilizzo fraudolento del servizio di home banking. Essa consente di formalizzare l’accaduto in unatto pubblico, che cristallizza temporalmente la scoperta dell’illecito e le modalità con cui la sottrazione delle somme è stata realizzata.
Sotto il profilo giuridico, la presentazione della querela assolve a una duplice funzione. Da un lato, essa permette l’avvio del procedimento penale per i reati configurabili in relazione alla frode di home banking, quali l’accesso abusivo a sistema informatico, la frode informatica e le ulteriori fattispecie eventualmente integrate dalla condotta degli autori.
Dall’altro lato, la denuncia costituisce un elemento di rilievo nei rapporti con l’istituto di credito, in quantodimostra la serietà della contestazionee la volontà del correntista di ottenere l’accertamento giudiziario dell’illecito, rafforzando la credibilità della richiesta di rimborso per operazione disconosciuta.
La narrazione dei fatti contenuta nella querela assume, inoltre, un’importanza decisiva nella ricostruzione dell’evento sotto il profilo causale. In essa devono essere indicati, per quanto possibile, i contatti intercorsi con i presunti operatori bancari o con i soggetti che si sono presentati come appartenenti alle forze dell’ordine, le modalità di accesso all’home banking, l’eventuale ricezione di comunicazioni ingannevoli e la tempistica delle operazioni contestate.
Ciò risulta essenziale non solo per le indagini penali, ma anche per le successive iniziative stragiudiziali o giudiziali intraprese nei confronti della Banca.
Fase 3: richiesta di rimborso alla banca per operazione di pagamento non autorizzata
Una volta effettuata la contestazione formale dell’operazione e presentata la querela, il correntista dovrebbe indirizzare all’istituto di credito unaspecifica richiesta di rimborsoper l’operazione di home banking non autorizzata o disconosciuta (solitamente tramite moduli o formulati della stessa banca).
Tale iniziativa si fonda sul principio secondo cui il prestatore di servizi di pagamento è tenuto ad assicurare che le operazioni disposte mediante home banking siano correttamente autorizzate dal titolare del conto e siano eseguite nel rispetto dei presidi di sicurezza previsti dalla normativa di settore e dalle condizioni contrattuali. In presenza di una disposizione di pagamento che il cliente afferma di non aver mai impartito, la banca è tenuta a verificare l’effettiva riconducibilità dell’operazione alla volontà del correntista e a dimostrare l’adozione di sistemi idonei a prevenire accessi abusivi.
Gli istituti di credito sono, inoltre, normalmente coperti dapolizze assicurative contro le frodi digitaliconnesse all’utilizzo dei servizi di home banking, predisposte proprio al fine di fronteggiare il rischio economico derivante da operazioni fraudolente poste in essere da terzi.
In tale contesto, qualora emerga che la sottrazione delle somme sia stata determinata, anche in via concorrente, dall’aggiramento dei meccanismi di sicurezza del sistema di home banking, la richiesta di rimborso del cliente dovrebbe essere evasa in tempi ragionevoli, mediante la restituzione delle somme indebitamente prelevate.
La banca, infatti, non può limitarsi a opporre l’avvenuta autenticazione formale dell’operazione, ma deve dimostrare che essa sia stata correttamente autorizzata dal cliente e che non sussistano anomalie riconducibili a falle organizzative o tecnologiche del servizio.
Qualora l’istituto di credito non fornisca riscontro positivo alla richiesta di rimborso entro un congruo termine, che non dovrebbe eccedere, di regola, il periodo di due mesi dalla presentazione della domanda, si rende opportuno valutare ilcoinvolgimento di un professionista legale.
L’assistenza di un avvocato consente, infatti, di inquadrare correttamente la vicenda sotto il profilo giuridico, di individuare le responsabilità connesse all’uso del servizio di home banking e di predisporre gli atti necessari per l’attivazione delle ulteriori forme di tutela previste dall’ordinamento, sia in sede stragiudiziale sia in sede giudiziale.
Fase 4: il reclamo e il ricorso all’Arbitro Bancario Finanziario
Nel caso in cui la richiesta di rimborso per operazione di home banking non autorizzata non sia accolta dall’istituto di credito, ovvero non venga evasa nei termini previsti, il correntista dovrebbe attivare gli strumenti di tutela stragiudiziale previsti dall’ordinamento bancario, a partire dalla proposizione di unreclamo formale.
Il reclamo rappresenta un passaggio preliminare necessario per l’eventuale instaurazione del procedimento dinanzi all’Arbitro Bancario Finanziarioed è volto a sollecitare un riesame della vicenda alla luce delle circostanze di fatto e delle ragioni giuridiche poste a fondamento dellacontestazione dell’operazione di home banking.
Decorso inutilmente il termine di risposta previsto per l’istituto di credito (15 o 60 giorni, a seconda dei casi), ovvero in caso di esito negativo del reclamo, il correntista può proporre ricorso all’Arbitro Bancario Finanziario, organismo di risoluzione alternativa delle controversie istituito presso la Banca d’Italia.
Il procedimento davanti all’ABF si caratterizza per la sua natura essenzialmente documentale e per lo svolgimento di un contraddittorio cartolare tra le parti, nel quale ciascun soggetto è chiamato a depositare memorie e documenti a sostegno delle proprie ragioni. La decisione viene adottata da un collegio composto da membri dotati di specifica competenza tecnica e giuridica in materia bancaria e finanziaria, con tempi di definizione della controversia che, di regola, non superano i sei mesi dalla presentazione del ricorso. Abbiamo dedicato al ricorso all’ABF unospecifico approfondimento.
L’accesso all’ABF presenta significativi vantaggi in termini dicontenimento dei costi(il contributo per la proposizione del ricorso è di 20 euro), disemplificazione proceduralee dirapidità della decisione, rispetto al ricorso immediato all’autorità giudiziaria. Sebbene la rappresentanza tecnica dell’avvocato non sia obbligatoria, l’assistenza di un professionista può risultare particolarmente utile nella predisposizione del ricorso e nella strutturazione delle argomentazioni giuridiche.
La decisione dell’Arbitro Bancario Finanziario non ha natura formalmente vincolante, ma nella prassi gli istituti di credito si conformano ordinariamente agli esiti del procedimento, rendendo tale strumento un rimedio di particolare efficacia per la tutela del correntista vittima di frode informatica connessa all’utilizzo dell’home banking.
Fase 5: tutela dinanzi al giudice ordinario
Qualora il ricorso all’Arbitro Bancario Finanziario si concluda con esito sfavorevole per il correntista, ovvero nel caso in cui l’istituto di credito non si conformi alla decisione adottata, resta ferma la possibilità di adire l’autorità giudiziaria ordinaria per la tutela dei propri diritti.
L’instaurazione del giudizio consente di sottoporre la controversia derivante dalla frode mediante home banking alla valutazione di ungiudice terzo e imparziale,chiamato ad applicare le norme di legge e i principi elaborati dalla giurisprudenza in materia di responsabilità contrattuale e di servizi di pagamento.
Nel processo civile, ciascuna parte è onerata della prova dei fatti posti a fondamento delle rispettive domande ed eccezioni. Il correntista dovrà dimostrare l’avvenuta sottrazione delle somme mediante operazioni di home banking non autorizzate e l’assenza di una propria volontà dispositiva, mentre l’istituto di credito sarà tenuto a provare di aver adottato misure di sicurezza adeguate e conformi allo stato dell’arte per prevenire accessi abusivi al sistema di home banking.
In tale contesto, il giudizio potrà richiedere l’acquisizione di elementi tecnici relativi al funzionamento delle piattaforme informatiche e ai protocolli di autenticazione utilizzati, con la conseguente possibilità che venga disposta una consulenza tecnica d’ufficio al fine di valutare l’idoneità dei presidi di sicurezza e la riconducibilità dell’operazione al cliente.
Sotto il profilo procedurale, la controversia potrà essere trattata anche mediante ilrito semplificato di cognizione, laddove ne ricorrano i presupposti, ferma restando la complessità che spesso caratterizza le frodi di home banking sotto il profilo probatorio e tecnico.
La decisione del giudice si sostanzia in una sentenza che accerta le responsabilità delle parti e stabilisce l’eventuale obbligo di restituzione delle somme indebitamente sottratte, nonché il risarcimento degli ulteriori danni subiti dal correntista. In tal senso, la tutela giudiziale è l’extrema ratio: l’ultima e più incisiva forma di protezione dei diritti patrimoniali lesi a seguito di frode informatica realizzata attraverso il canale bancario.
Frodi digitali: assistenza legale qualificata in sede giudiziale e stragiudiziale
Le frodi realizzate mediante sistemi di home banking rappresentano oggi una delle forme più insidiose di aggressione al patrimonio del correntista, poiché si fondano su tecniche di ingegneria sociale capaci di eludere non solo i presidi tecnologici, ma anche la percezione del rischio da parte dell’utente.
Tali accadimenti impongono una valutazione attenta delle modalità con cui l’evento si è verificato e delle responsabilità che ne derivano, tanto sotto il profilo contrattuale quanto sotto quello della disciplina dei servizi di pagamento.
In tale contesto si inserisce l’attività professionale dello Studio, specializzato inreati informatici,che presta assistenza nei casi di frode informatica connessa all’utilizzo dell’home banking, affiancando il cliente nella fase di contestazione delle operazioni, nella predisposizione delle richieste di rimborso e nell’attivazione degli strumenti di tutela stragiudiziale e giudiziale.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
Tra le più recenti pronunce della Corte di Cassazione Penale in materia diabusivismo finanziario, figurano casi relativi all’offerta e gestione di criptoattività in assenza delle prescritte abilitazioni. Con il presente articolo ci proponiamo di delineare i criteri interpretativi adottati dal giudice penale per ricondurre le operazioni aventi a oggettovalute virtualinell’ambito applicativo dell’art. 166 delD. Lgs. 24 febbraio 1998, n. 58(Testo Unico della Finanza – TUF), norma incriminatrice dell’esercizio abusivo di servizi e attività di investimento.
La complessità della materia – che intreccia diritto penale dell’economia e diritto dei mercati finanziari – impone una lettura coordinata delle fonti interne ed europee, nonché un confronto con le definizioni elaborate dallagiurisprudenza di legittimità, anche in ambito civilistico.
In tale prospettiva, particolare rilievo assume la sentenza della Corte di Cassazione, Sezione V Penale, 19 luglio 2024, n. 29649, che ha affrontato in modo approfondito il tema della riconducibilità delle criptovalute alla nozione diprodotto finanziario.
Il commento alla decisione è stato oggetto di una nostranota pubblicatanelfascicolo 2/2025della rivista “Diritto di Internet”, nella quale sono stati esaminati gli approdi ermeneutici della Suprema Corte e le possibili ricadute in termini di responsabilità penale.
L’articolo che segue si propone dunque di riprendere e sviluppare ulteriormente tali profili, mettendo in luce i criteri giuridici attraverso cui l’abusivismo finanziarioviene riconosciuto anche nei confronti di soggetti operanti nel mercato delle valute virtuali.
Tassatività penale e abusivismo finanziario: il caso giudiziario affrontato dalla Corte
La vicenda affrontata dalla Corte di Cassazione con la sentenza n. 29649 del 19 luglio 2024 prende le mosse dalla condanna riportata da un soggetto ritenuto responsabile del reato di abusivismo finanziario per aver svolto, in maniera sistematica e senza alcuna abilitazione, attività di investimento e offerta fuori sede di prodotti e strumenti finanziari, tra cui figuravano ancheinvestimenti in criptovalute.
Il Tribunale di Verona, con sentenza confermata in appello, aveva accertato che l’imputato aveva gestito capitali per oltre due milioni di euro, promuovendo operazioni rivolte a un numero rilevante di risparmiatori.
In sede di legittimità, la difesa ha invocato il principio di tassatività della norma penale, sostenendo l’insussistenza del reato di cui all’art. 166 TUFin quanto i prodotti finanziari offerti risultavano, salvo che per le criptovalute, del tutto inesistenti nella realtà fenomenica e giuridica. Secondo tale impostazione, la condotta avrebbe dovuto essere sussunta – eventualmente – sotto altre fattispecie, come quella di truffa, ma non sarebbe stata idonea a integrare il reato diabusivismo finanziario, il quale richiederebbe l’offerta o la gestione di prodotti effettivamente esistenti e riconducibili all’ordinamento di settore.
La Corte ha tuttavia rigettato tale ricostruzione, rilevando come l’essenza dell’infrazione consista nell’esercizio non autorizzato di attività riservate, indipendentemente dalla liceità o dalla validità intrinseca dei prodotti prospettati.
Anche qualora l’attività concretamente svolta si riveli priva di valore economico reale, ciò che rileva è la percezione da parte del pubblico e lafunzione economicaassunta dall’operazione, se connotata da aspettativa di rendimento e da un rischio di investimento. L’interpretazione offerta dalla Cassazione si muove dunque lungo una linea di continuità con la funzione protettiva dell’art. 166 TUF, intesa a tutelare non soltanto l’interesse individuale del risparmiatore, ma anche l’integrità e il corretto funzionamento del mercato finanziario.
In questa prospettiva, l’abusivismo finanziario può configurarsi anche in relazione ad asset privi di valore oggettivo, laddove il promotore ne abbia fatto oggetto di un’attività riconducibile ai servizi di investimento disciplinati dal Testo Unico della Finanza.
Abusivismo finanziario e criptovalute: natura dell’asset e criteri interpretativi
L’art. 166, comma 1, del D. Lgs. 24 febbraio 1998, n. 58 (TUF) prevede che:«È punito con la reclusione da uno a otto anni e con la multa da euro quattromila a euro diecimila chiunque, senza esservi abilitato ai sensi del presente decreto: a) svolge servizi o attività di investimento o di gestione collettiva del risparmio; […] c) offre fuori sede, ovvero promuove o colloca mediante tecniche di comunicazione a distanza, prodotti finanziari o strumenti finanziari o servizi o attività di investimento». La norma incriminatrice individua quindi due diverse tipologie di condotte penalmente rilevanti: da un lato, l’esercizio abusivo di servizi di investimento; dall’altro, l’offerta, promozione o collocamento di prodotti finanziari senza abilitazione, anche tramite tecniche di comunicazione a distanza.
Nel caso deciso dalla Cassazione con lasentenza n. 29649/2024, l’imputato era accusato di aver posto in essere condotte riconducibili alle ipotesi di cui alle lettere a) e c) dell’art, 166, avendo promosso operazioni speculative in criptovalute, ricevendo direttamente le somme dai risparmiatori e gestendo portafogli digitali per loro conto, pur essendo privo delle necessarie autorizzazioni.
Il ricorrente ha contestato la configurabilità del reato, sostenendo che le criptovalute non potessero essere ricondotte né alla nozione di prodotto finanziario né a quella di strumento finanziario, in quanto non espressamente menzionate nel TUF.
La Suprema Corte ha respinto tale impostazione, sottolineando che ciò che rileva, ai fini dell’integrazione del reato di abusivismo finanziario, è lafunzione economica concretamente assunta dall’operazione. In particolare, la Corte ha accertato che l’imputato non si limitava a facilitare l’acquisto di criptovalute come mezzo di scambio, bensì gestiva portafogli virtuali riconducibili ai clienti, perseguendo un obiettivo di rendimento finanziario. Tale modalità operativa consente di qualificare le valute virtuali come strumenti impiegati con finalità di investimento e, pertanto, suscettibili di essere ricondotti nell’ambito applicativo dell’art. 166 TUF.
La Corte valorizza, in questo senso, unanozione funzionaledel prodotto finanziario, ponendo al centro dell’analisi la finalità economica dell’operazione e la percezione che ne ha il pubblico, piuttosto che la tassatività della tipologia contrattuale o la denominazione dello strumento. In questa prospettiva, la condotta contestata rientra appieno nella disciplina penale dell’abusivismo finanziario, anche in assenza di un’espressa tipizzazione delle valute virtuali come strumenti regolamentati.
Abusivismo finanziario e criteri civilistici di finanziarietà
L’inquadramento delle criptovalute tra i prodotti finanziari rilevanti ai fini dell’art. 166 TUF presuppone una riflessione sul concetto diinvestimento finanziario, che non può esaurirsi in un elenco tassativo di strumenti normativamente tipizzati.
In tal senso, la giurisprudenza civile ha progressivamente elaborato unanozione “aperta”di prodotto finanziario, capace di adattarsi alle continue evoluzioni del mercato. Ai sensi dell’art. 1, comma 1, lett. u), del Testo Unico della Finanza, i prodotti finanziari sono definiti come«gli strumenti finanziari e ogni altra forma di investimento di natura finanziaria».
Tale formula evidenzia un approccio funzionale e non formale alla nozione di prodotto, volto a ricomprendere tutte quelle operazioni che, pur prive di una veste giuridica codificata, presentano elementi oggettivi di finanziarietà.
Secondo un consolidato orientamento della Corte di Cassazione civile (v. Sez. I, sent. n. 10598 del 19 maggio 2005; Sez. II, sent. n. 2736 del 5 febbraio 2013), costituisce investimento di natura finanziaria ogni operazione nella quale ricorra un conferimento di denaro da parte del risparmiatore, un’aspettativa di rendimento o di utilità, e l’assunzione di un rischio, rispetto all’impiego delle disponibilità in un determinato intervallo temporale.
L’effetto economico dell’operazione, e non la forma contrattuale utilizzata, rappresenta il criterio guida per accertare lasussistenza della “finanziarietà”. Tale impostazione consente di includere nella disciplina di protezione anche le operazioni atipiche o innominate, in linea con le esigenze di tutela degli investitori nei confronti di iniziative di mercato sempre più articolate e tecnologicamente avanzate.
Nel solco di tale interpretazione, la Cassazione penale, nella sentenza n. 29649/2024, ha valorizzato proprio questi indici civilistici per affermare la sussumibilità delle operazioni aventi a oggetto criptovalute nella nozione di investimento finanziario penalmente rilevante.
È la stessa Corte a richiamare, in motivazione, il principio secondo cui il prodotto finanziario costituisce una categoria aperta, elaborata dal legislatore per rispondere alla creatività del mercato e alla necessità di intercettare tutte le forme, anche non convenzionali, di offerta al pubblico del risparmio.
L’abusivismo finanziario, pertanto, può configurarsi anche in relazione a strumenti non espressamente elencati dal TUF, purché sussistano gli elementi oggettivi dell’investimento secondo i criteri funzionali indicati dalla giurisprudenza civile. Tale convergenza interpretativa tra i giudici civili e penali rafforza la coerenza sistematica dell’ordinamento e consente di attribuire rilievo penalistico anche a condotte che si pongono al di fuori dei modelli contrattuali tradizionali, ma che realizzano di fatto una gestione speculativa del risparmio.
Valute virtuali, abusivismo finanziario e limiti di legalità nell’offerta di cryptoasset
L’estensione della fattispecie diabusivismo finanziarioalle condotte aventi a oggetto le criptoattività solleva interrogativi rilevanti sotto il profilo della legalità penale e della prevedibilità del precetto. In effetti, la tipologia eterogenea delle valute virtuali, la mancanza di un’espressa ricomprensione delle stesse nella nozione codificata di strumento finanziario e l’assenza, fino a tempi recenti, di una disciplina armonizzata sul piano europeo, rendono necessario un esercizio interpretativo particolarmente rigoroso da parte dell’interprete.
La Corte di Cassazione, nella sentenza in commento, affronta tali criticità chiarendo che l’elemento decisivo non risiede nella classificazione astratta dell’asset, bensì nella finalità economica dell’operazione e nella percezione che ne deriva in capo agli investitori.
Secondo il principio affermato dalla Suprema Corte, l’abusivismo finanziarioex art. 166, comma 1, TUF, si configura ogniqualvolta un soggetto, senza autorizzazione, offra al pubblico strumenti o servizi che si presentano come investimenti di natura finanziaria. Ciò include le ipotesi in cui l’offerta sia effettuata al di fuori della sede legale o attraverso tecniche di comunicazione a distanza, anche mediante canali digitali o piattaforme telematiche.
La Cassazione ha più volte chiarito che, qualora l’attività di vendita di valute virtuali sia accompagnata dalla prospettazione di rendimenti attesi, obblighi di riacquisto, strategie di valorizzazione o altre forme di sollecitazione del risparmio, essa assume natura finanziaria e ricade nel perimetro delle condotte sanzionate dall’art. 166, lett. c).
L’offerta di cryptoasset diventa, quindi,penalmente rilevantenon in ragione della nomenclatura dell’oggetto scambiato, ma della struttura economica e comunicativa dell’operazione, che deve essere valutata caso per caso.
Ciò impone al giudice penale un’attenta verifica in ordine alla concreta destinazione del capitale, alla presenza di una prospettiva di rendimento, al rischio assunto dall’investitore e alla modalità con cui l’operazione è stata promossa. Tale verifica, ispirata ai criteri civilistici della finanziarietà, permette di rispettare il principio di legalità senza sacrificare l’effettività della tutela del mercato.
Assistenza legale qualificata sul tema Blockchain&Cryptoasset: l’esperienza dello Studio Legale D’Agostino
La crescente diffusione delle valute virtuali come strumenti di investimento e la progressiva affermazione di un’interpretazione estensiva della nozione di prodotto finanziario pongono rilevanti esigenze di orientamento e tutela per operatori economici, investitori, start-up tecnologiche e piattaforme attive nell’ambito delle criptoattività.
La disciplina dell’abusivismo finanziario è soltanto un esempio.Emergono diversi ambiti e profili di responsabilità per soggetti che – spesso in buona fede – svolgano attività di promozione, intermediazione o gestione di valori virtuali, senza considerare la necessità di abilitazioni o iscrizioni presso le autorità di vigilanza .
Il nostro Studio Legale, grazie alla guida dell’Avv. Luca D’Agostino, ha maturato unaconsolidata esperienzanella valutazione di progetti imprenditoriali relativi a criptoasset, assistendo imprenditori, società fintech, sviluppatori di piattaforme nella valutazione di legalità dei modelli operativi, nella predisposizione di documentazione conforme alla normativa vigente e nella difesa tecnica in procedimenti presso la Consob e altre autorità pubbliche di vigilanza. L’attività si estende anche al contenzioso amministrativo e all’interlocuzione con le autorità competenti per l’adeguamento ai requisiti autorizzatori, alla trasparenza dell’offerta e alla prevenzione di possibili illeciti.
Siamo a disposizione per un confronto operativo e proattivo volto alla soluzione di problematiche specifiche. Contattaciqui.
Diritto penale d’impresa e white-collar crimes – Studio Legale Luca D’Agostino, Roma.
Il tentativo diphishingè, purtroppo, all’ordine del giorno. Negli ultimi mesi si è assistito a una crescente sofisticazione delle tecniche di frode online, con particolare riferimento al fenomeno del tentativo di phishing che sfrutta dati verosimili e circostanze concrete per ingannare l’utente.
Uno degli schemi più insidiosi recentemente emersi riguarda l’invio di comunicazioni fraudolente in occasione del rinnovo di servizi digitali, come il piano di hosting di un sito web. È quanto accaduto nel caso recentemente affrontato dal nostro Studio, in cui è stato rilevato un tentativo di phishing costruito intorno al rinnovo del piano di hosting presso Aruba (qui leinformazioniche ilprovidermette a disposizione per individuare e segnalare un illecito).
Gli autori della truffa, evidentemente a conoscenza della data imminente di scadenza del servizio, hanno inviato un messaggio email apparentemente legittimo, completo di logo, intestazione e riferimenti temporali compatibili con le comunicazioni ufficiali del fornitore.
Il messaggio conteneva un link per procedere al rinnovo, che in realtà conduceva a un sito clone, creato per acquisire i dati della carta di pagamento dell’ignaro destinatario. Questo episodio conferma come il tentativo di phishing possa oggi manifestarsi con modalità estremamente credibili, rendendo necessario un elevato livello di attenzione da parte dell’utente, nonché un’adeguata consapevolezza giuridica circa le implicazioni di tale condotta fraudolenta.
Il tentativo di phishing come forma di spear phishing: tecniche e finalità
Iltentativo di phishinganalizzato nel caso relativo al rinnovo del piano di hosting presso Aruba presenta tutte le caratteristiche tipiche di una tecnica evoluta, nota comespear phishing. A differenza delle campagne generiche, questa modalità prevede un’attività di profilazione preventiva dell’utente, finalizzata a rendere il messaggio fraudolento altamente personalizzato e quindi più persuasivo.
L’inclusione di dati attendibili, quali la scadenza effettiva del contratto o il nome del provider, accresce il livello di verosimiglianza della comunicazione e riduce le difese dell’utente, che può essere indotto a cliccare sul link e a inserire dati sensibili senza sospetti.
Dal punto di vista giuridico, tali condotte possono integrare diverse fattispecie penalmente rilevanti, tra cui – a seconda dei casi – l’accesso abusivo a sistema informatico(art. 615-terc.p.), la truffa (art. 640 c.p.) o la frode informatica (art. 640-terc.p.) e/o l’utilizzo indebito di strumenti di pagamento elettronico (art. 493-terc.p.).
Profili di responsabilità e rimedi in caso di tentativo di phishing riuscito
Qualora iltentativo di phishingsortisca effetto, con conseguente sottrazione di dati bancari o l’effettuazione di pagamenti non autorizzati, si aprono scenari complessi dal punto di vista della responsabilità penale e civile.
In primo luogo, l’autore dell’attacco dovrebbe rispondere delle ipotesi di reato sopra enucleate; ciò significa che la vittima potrà avvalersi degli strumenti di tutela offerti dal codice di procedura penale (dalla possibilità di denunciare il fatto alle competenti autorità, alla costituzione di parte civile nel procedimento penale).
Inoltre il soggetto passivo del reato potrà, in base alle circostanze, valutare gli opportuni rimedi contrattuali o civilistici a propria tutela.
Tentativo di phishing: quando rivolgersi a un professionista
L’elevato grado di sofisticazione raggiunto dalle moderne campagne diphishingimpone una reazione non solo tecnica, ma anche giuridica. Intercettare tempestivamente la frode, verificare le condizioni contrattuali eventualmente implicate, denunciare l’accaduto alle autorità competenti e agire in giudizio per la tutela dei propri diritti richiedono competenze specifiche e una visione sistemica delle normative in materia di reati informatici.
Nel case study qui in esame, la tempestività nell’individuazione deltentativo di phishinge la verifica della provenienza del messaggio hanno impedito conseguenze patrimoniali dannose. Tuttavia, numerosi utenti e imprese, specialmente in ambito digitale, non dispongono dei mezzi per riconoscere immediatamente una frode e rischiano di subire danni economici e reputazionali rilevanti.
Per questa ragione, il nostro Studio è a disposizione per offrire consulenza specialistica suireati informatici, sia in fase preventiva — attraverso audit contrattuali e formazione interna — sia in caso di attacco già avvenuto, per valutare l’azione legale più idonea e la tutela giudiziale o stragiudiziale percorribile.
Il fenomeno deldanneggiamento informaticoassume oggi una rilevanza crescente sotto il profilo della sicurezza dei dati e dell’affidabilità delle infrastrutture telematiche. L’alterazione, la cancellazione o la distruzione di contenuti informatici rappresentano condotte sempre più frequenti, in grado di compromettere non solo il patrimonio informativo dei singoli, ma anche il corretto funzionamento di servizi essenziali per l’interesse pubblico.
In tale contesto, la prevenzione assume un ruolo centrale, da attuarsi mediante misure tecniche e organizzative idonee a tutelare l’integrità dei dati e dei sistemi, nonché mediante un’adeguata formazione degli operatori e degli utenti.
È altresì fondamentale che, in presenza di situazioni sospette o di veri e propri attacchi informatici, i soggetti coinvolti si attivino tempestivamente per garantire una pronta reazione, anche sotto il profilo giuridico. In tal senso, un’attenta ricostruzione dei fatti (siano essi di danneggiamento informatico o altro cybercrime), un’immediata raccolta delle evidenze digitali e una corretta qualificazione delle condotte possono rivelarsi dirimenti per l’attivazione degli strumenti di tutela offerti dal nostro ordinamento penale.
In particolare, l’inquadramento giuridico del fatto e l’individuazione degli strumenti repressivi più efficaci possono richiedere, sin dalle prime fasi, il contributo di competenze specialistiche nel campo del diritto penale dell’informatica, trattandosi di un settore normativo in continua evoluzione e di non agevole interpretazione.
Il sistema normativo sul danneggiamento informatico nel codice penale
Il legislatore italiano ha progressivamente elaborato un vero e proprio microsistema penale dedicato aldanneggiamento informatico, collocato nel titolo XIII del codice penale, tra i delitti contro il patrimonio. Sebbene l’apparente collocazione sistematica richiami la tutela del bene patrimoniale, l’interesse protetto dalle norme incriminatrici va ben oltre la mera protezione economica, mirando piuttosto a garantire l’integritàe ladisponibilitàdei dati, dei programmi e dei sistemi informatici e telematici.
Si tratta di beni giuridici autonomi, affermatisi con l’avvento delle tecnologie digitali, i quali assumono una dimensione talvolta individuale e talvolta collettiva, in ragione della funzione che tali strumenti assolvono nella società contemporanea.
Il cuore del sistema è rappresentato dagli articoli635-bise seguenti del codice penale, introdotti inizialmente con la legge 23 dicembre 1993, n. 547 e successivamente ampliati con la legge 18 marzo 2008, n. 48, di ratifica della Convenzione di Budapest sulla criminalità informatica. Le modifiche più recenti sono state apportate dallalegge 28 giugno 2024, n. 90, che ha ulteriormente raffinato le fattispecie incriminatrici, inasprendo il trattamento sanzionatorio e adeguando la normativa alle esigenze emergenti in materia dicybersicurezza.
Il sistema si articola in una pluralità di disposizioni, distinte in base alla natura del bene tutelato: da un lato, la protezione delleinformazioni, dei dati e dei programmi informatici(c.d.danneggiamento logico), dall’altro, la tutela deisistemi informatici o telematici(c.d.danneggiamenti fisico), con ulteriore specificazione per quelli diinteresse pubblico.
A queste si affiancano norme che puniscono le condotte prodromiche o preparatorie, come ladetenzione e diffusione di strumenti informatici dannosi, completando un quadro normativo coerente e strutturato, finalizzato a reprimere in modo differenziato tutte le possibili aggressioni alla dimensione digitale del patrimonio informativo.
Si darà ora uno sguardo alle singole fattispecie, per illustrare l’effettivo perimetro dell’incriminazione.
Il danneggiamento informatico “logico”: art. 635-bisc.p.
L’articolo 635-bispunisce, salvo che il fatto non costituisca reato più grave, chiunquedistrugge, deteriora, cancella, altera o sopprimedati o programmi informatici, delineando una pluralità di condotte alternative che si prestano a una casistica applicativa estremamente ampia. Il legislatore ha così recepito, anche alla luce delle indicazioni dellaConvenzione di Budapestdel 2001, una visione moderna del bene giuridico tutelato, sganciata dalla nozione tradizionale di “cosa” e costruita sulla funzionalità dei contenuti digitali.
Il danneggiamento informatico “logico” si configura come un delitto comune, essendo previsto a carico di “chiunque”, ed è a forma libera, potendo essere realizzato mediante azioni diverse purché riconducibili a una violazione dell’integrità o della disponibilità del bene informatico. Le singole condotte hanno una portata autonoma e devono essere interpretate in base alla loro effettiva incidenza sulla struttura e sull’utilizzabilità del dato: si pensi, ad esempio, allacancellazione, che può avvenire mediante tecniche di sovrascrittura o di smagnetizzazione; oppure all’alterazione, che consiste nella modifica sostanziale delle istruzioni o delle sequenze logiche di un programma, con perdita della funzionalità originaria.
L’altruitàdei dati costituisce un presupposto fondamentale, sebbene la giurisprudenza abbia nel tempo esteso l’interpretazione di tale requisito, ricomprendendo non solo il proprietario, ma anche il soggetto legittimamente titolare di un interesse all’integrità o al godimento del contenuto digitale. Il reato richiede il dolo generico, ovvero la consapevolezza e volontà di porre in essere una delle condotte tipizzate con riferimento a dati altrui.
La recentelegge n. 90 del 2024(per un quadro sulle novità apportate dalle legge rinviamo a unprecedente approfondimento) ha introdotto nuove aggravanti e ha elevato le pene edittali, portando la reclusione per la fattispecie base fino a sei anni e prevedendo pene più severe nei casi di abuso di funzione, minaccia, violenza o uso di armi. Si rafforza così il ruolo dell’art. 635-bis c.p. nella repressione deldanneggiamento informaticodei contenuti digitali.
Con l’articolo 635-quaterdel codice penale si introduce una specifica fattispecie didanneggiamento informaticoavente ad oggetto non più i dati o i programmi, ma direttamente isistemi informatici o telematici, intesi come l’insieme coordinato di componenti hardware e software destinato all’elaborazione o alla trasmissione automatizzata di informazioni.
Il legislatore, recependo quanto previsto dall’art. 5 dellaConvenzione di Budapest, ha distinto chiaramente tra la compromissione dei contenuti informatici (disciplinata dall’art. 635-bis c.p.) e l’aggressione all’infrastruttura che li ospita o elabora. La norma punisce, salvo che il fatto non costituisca reato più grave, chiunque, mediante le condotte già descritte all’articolo 635-bis, ovvero attraverso l’introduzione o la trasmissione di dati, informazioni o programmi,distrugge, danneggia, rende inservibili in tutto o in parte i sistemi informatici o telematici altrui, oppure ne ostacola gravemente il funzionamento.
Ildanneggiamento informatico “fisico”si configura come reato di evento, che si perfeziona nel momento in cui si verifica l’effetto lesivo su uno dei sistemi target. L’aspetto peculiare di questa disposizione è l’apertura alla cosiddettacondotta di sabotaggio informatico, che si realizza tramite l’inserimento di comandi, dati alterati o programmi malevoli – come i malware – finalizzati a compromettere le funzionalità del sistema.
L’introduzione può avvenire localmente o da remoto, anche mediante supporti fisici o rete Internet, e produce un risultato che, se non equivale alla distruzione, può comunque comportare gravi disfunzioni operative. Il bene tutelato, in tal caso, si estende allacontinuità e regolarità del funzionamento dei sistemi informatici, i quali, seppur di natura privata, spesso svolgono un ruolo cruciale nelle attività produttive o nei servizi digitali.
L’elemento soggettivo richiesto per il danneggiamento informatico è ildolo generico, comprendente la coscienza e volontà sia della condotta che dell’evento che ne deriva. Anche in questo caso lalegge n. 90/2024ha significativamente inasprito il trattamento sanzionatorio anche per questa fattispecie, prevedendo una reclusione da tre a otto anni nei casi aggravati, in particolare quando il reato è commesso da pubblici ufficiali o operatori del sistema, o con violenza, minaccia o armi.
Danneggiamento informatico di dati e sistemi di interesse pubblico: artt. 635-tere 635-quinquiesc.p.
La necessità di garantire una tutela rafforzata nei confronti dei contenuti e delle infrastrutture digitali che svolgono una funzione pubblica o di rilevante interesse collettivo ha condotto il legislatore all’introduzione di specifiche figure criminose, oggi disciplinate dagli articoli635-tere 635-quinquiesdel codice penale.
Tali disposizioni si collocano nel solco della bipartizione già delineata tra ildanneggiamento informaticodi contenuti (dati, programmi e informazioni) e quello di sistemi, ma si caratterizzano per l’ulteriore elemento della destinazione pubblica o dell’interesse collettivo del bene giuridico leso.
In particolare, l’art. 635-terc.p. punisce chi commette un fatto diretto a distruggere, deteriorare, cancellare, alterare o sopprimere informazioni, dati o programmidi interesse militare, relativi all’ordine pubblico, alla sanità, alla sicurezza pubblica, alla protezione civile o comunque di interesse pubblico, secondo una nozione funzionale che prescinde dalla titolarità pubblica del sistema.
Viene quindi sanzionata una condotta diretta e idonea a produrre un effetto lesivo, anticipando così la soglia di punibilità al momento in cui si verifica ilpericolo concretoper il bene tutelato, secondo la logica propria dei reati di attentato. Una struttura analoga è prevista all’art. 635-quinquiesc.p., che incrimina gli atti diretti a danneggiare o ostacolare gravemente il funzionamento disistemi informatici o telematici di pubblico interesse, con modalità analoghe a quelle previste per i sistemi privati, ma con un disvalore penale rafforzato.
Le aggravanti introdotte dal legislatore nel 2024 riflettono tale maggiore gravità: tra esse si segnala, oltre alla commissione del reato da parte di pubblici ufficiali o soggetti qualificati, anche l’effettiva produzione di eventi lesivi, quali la distruzione o l’inaccessibilità delle informazioni, ovvero la loro sottrazione, anche mediante trasmissione. Inoltre, lanuova aggravante del comma 3 comporta un innalzamento ulteriore della pena fino a dodici anni di reclusione.
Queste disposizioni evidenziano il ruolo strategico che i dati e i sistemi pubblici assumono in una società digitale, nella quale la sicurezza informatica non è più solo un’esigenza tecnica, ma unapriorità giuridica e istituzionale, oggetto di specifica tutela penale attraverso il reato didanneggiamento informaticoin forma qualificata.
Condotte prodromiche al danneggiamento informatico: l’art. 635-quater.1c.p. e i dual-use software
Il sistema di tutela penale delineato in materia didanneggiamento informaticosi completa con la previsione dell’articolo 635-quater.1 del codice penale, il quale incrimina una serie di condotteprodromiche o preparatoriealla commissione di reati informatici, aventi ad oggetto strumenti tecnologici intrinsecamente pericolosi.
La disposizione punisce, infatti, chiunque, allo scopo di danneggiare illecitamente un sistema informatico o telematico, o di favorirne l’interruzione o l’alterazione del funzionamento,abusivamente si procura, detiene, produce, riproduce, importa, diffonde, comunica, consegna, installa o mette a disposizione di altriapparecchiature, dispositivi o programmi informatici idonei a tal fine.
La norma risponde all’esigenza di anticipare la soglia della rilevanza penale in un settore in cui l’offensività si manifesta spesso con rapidità e gravità. Trattandosi di una fattispecie di mera condotta e a dolo specifico, essa richiede non solo laconsapevolezza e volontà della detenzione o diffusione abusiva, ma anche il fine di realizzare un successivo danno o interruzione di un sistema informatico o dei dati in esso contenuti.
Sul piano oggettivo, l’articolo in esame ricomprende anche i cosiddettidual-use software, ossia quei programmi suscettibili di un impiego sia lecito che illecito (vale a dire: possono essere impiegati per un danneggiamento informatico o per finalità di testing di sicurezza), la cui punibilità dipende dunque dall’uso concreto che l’agente intende farne. In tal senso, l’elemento dellaabusività della condottadiviene decisivo per distinguere l’attività lecita (si pensi alla ricerca informatica o al testing etico) da quella penalmente rilevante.
La norma è stata significativamente riformulata dallalegge n. 90 del 2024, che ne ha trasferito la collocazione tra i delitti contro il patrimonio, ha introdotto nuove aggravanti e ha confermato l’applicabilità delleattenuanti di cui all’art. 639-terc.p., nei casi in cui il fatto risulti di lieve entità o l’autore collabori con l’autorità per evitare conseguenze ulteriori.
Danneggiamento informatico e indagini digitali: il ruolo dei log e delle denunce circostanziate
Le indagini relative a ipotesi didanneggiamento informaticopresentano specificità tecniche che impongono un approccio investigativo altamente specializzato. Trattandosi di reati che si manifestano mediante condotte digitali spesso non direttamente percepibili, l’accertamento del fatto e l’individuazione dell’autore presuppongono l’impiego di strumenti di analisi forense e metodologie informatiche idonee a garantire la tracciabilità delle operazioni eseguite sui sistemi coinvolti.
In tale ambito, particolare rilevanza assumono ifile di log, ossia i registri digitali che documentano le attività effettuate all’interno di un sistema, sia da parte degli utenti sia da parte delle applicazioni. Tali registrazioni possono contenere informazioni essenziali, come gli indirizzi IP, gli orari di accesso, le modifiche apportate ai dati o ai programmi, nonché le operazioni di installazione o esecuzione di software che causano un danneggiamento informatico.
L’analisi forense dei log, ove tempestivamente conservati e messi a disposizione degli inquirenti, può dunque consentire la ricostruzione del percorso digitale seguito dall’agente, anche in presenza di tecniche di offuscamento o dissimulazione.
Ai fini dell’efficacia dell’azione investigativa, risulta fondamentale anche laqualità e la tempestività della denunciasporta dalla persona offesa. Una denuncia dettagliata, corredata da informazioni tecniche specifiche, consente infatti di indirizzare con maggiore precisione l’attività della polizia giudiziaria e del pubblico ministero, riducendo il rischio di dispersione probatoria.
È altresì opportuno che, nelle prime fasi successive all’evento, vengano effettuate attività dipreservazione delle prove digitali, mediante procedure di duplicazione forense dei supporti e acquisizione certificata dei file. In questo scenario, la sinergia tra competenze tecniche e giuridiche permette una risposta efficace agli episodi didanneggiamento informatico, la cui individuazione richiede spesso la collaborazione tra autorità inquirenti, consulenti tecnici e operatori del settore informatico.
Assistenza legale in casi di danneggiamento informatico
Nel contesto della crescente esposizione delle imprese e delle organizzazioni a condotte didanneggiamento informatico, l’assistenza legale non deve essere intesa unicamente come presidio da attivare nella fase patologica, a seguito di un attacco subito o di un evento già consumato.
Al contrario, l’intervento di un avvocato penalista con specifica competenza in materia direati informaticipuò rivelarsi determinante anche in una prospettiva diprevenzione, orientando l’ente verso l’adozione di policy di sicurezza in grado di ridurre il rischio di aggressioni esterne e interferenze sui sistemi e sui dati aziendali.
Il diritto penale dell’informatica, infatti, non è solo uno strumento repressivo, ma costituisce anche un parametro normativo cui devono conformarsi le misure di tutela dell’integrità di dati e sistemi. In tal senso, un avvocato esperto può contribuire all’elaborazione di policy interne coerenti con gli standard di diligenza richiesti, favorendo una gestione consapevole degli accessi ai sistemi, una tracciabilità completa delle attività digitali e un impiego sicuro dei software e delle infrastrutture tecnologiche.
Ciò risulta particolarmente rilevante in un contesto nel quale il patrimonio informativo di un’impresa rappresenta l’asset strategico per eccellenza, suscettibile di essere gravemente leso da un danneggiamento informatico, con conseguenze gravi sul piano economico, reputazionale e operativo.
Phishing è il termine con cui si identifica una delle più insidiose forme di truffa informatica, caratterizzata dall’inganno finalizzato alla sottrazione didati sensibilie informazioni riservate. L’evoluzione tecnologica e la crescente digitalizzazione delle attività quotidiane hanno ampliato le possibilità di comunicazione e gestione dei servizi online, ma al contempo hanno esposto gli utenti a nuove minacce. Il phishing, in particolare, si avvale di tecniche fraudolente attraverso le quali il soggetto agente, comunemente noto come phisher, induce la vittima a rivelare spontaneamente dati personali, quali credenziali di accesso a servizi bancari, numeri di carte di credito e informazioni finanziarie.
L’attacco si concretizza mediante l’invio di comunicazioni apparentemente legittime, che riproducono i segni distintivi di istituti bancari, enti pubblici o aziende note, al fine di persuadere l’utente a fornire informazioni riservate o a eseguire azioni che compromettano la sicurezza dei suoi dati. Generalmente, il phishing avviene attraversoe-mail fraudolente, messaggi di testo o chiamate telefoniche, all’interno delle quali la vittima viene indotta a cliccare su link malevoli o a scaricare allegati dannosi, con il conseguente rischio di compromissione dei propri dispositivi e dell’integrità delle informazioni personali.
L’impatto del phishing non si esaurisce nel mero contesto informatico, ma determina rilevanti conseguenze economiche e giuridiche per le vittime, che possono subire ingenti perdite patrimoniali e la violazione della propria privacy. L’elevato grado di sofisticazione delle tecniche adottate dai phisher, unito alla crescente difficoltà nel riconoscere le comunicazioni fraudolente, rende indispensabile un’attenta analisi del fenomeno, con l’obiettivo di comprenderne le modalità operative e individuare misure efficaci di prevenzione e tutela.
Phishing e social engineering: il meccanismo dell’inganno
Phishing e ingegneria sociale rappresentano due fenomeni strettamente connessi, in quanto il successo degli attacchi si fonda sull’applicazione di tecniche psicologiche volte a manipolare il comportamento della vittima. L’ingegneria sociale, infatti, è l’insieme di strategie basate sulla persuasione e sullo sfruttamento delle reazioni automatiche della mente umana, con lo scopo di indurre il soggetto passivo a compiere un’azione specifica senza che questi si renda conto di essere stato influenzato da un soggetto esterno.
Nel contesto del phishing, il truffatore elabora messaggi ingannevoli che riproducono fedelmente il linguaggio, la struttura e i segni distintivi di comunicazioni ufficiali inviate da istituti bancari, enti pubblici o aziende. L’obiettivo è quello di suscitare nella vittima un senso di urgenza o di pericolo, inducendola a ritenere che sia necessario compiere un’azione immediata per evitare presunte conseguenze negative.
Un esempio tipico è rappresentato dai messaggi che informano l’utente di un presunto problema di sicurezza del proprio conto bancario, della necessità di aggiornare le credenziali di accesso o di verificare transazioni sospette. Simili comunicazioni sono progettate per far leva sulla paura e sull’ansia della vittima, spingendola ad agire impulsivamente senza effettuare i necessari controlli.
L’efficacia del phishing è accresciuta dalla capacità del phisher di creare un contesto comunicativo verosimile e coerente, che lasci intendere alla vittima di avere il controllo della situazione e di poter risolvere il problema autonomamente.
A tale scopo, il linguaggio utilizzato nelle comunicazioni fraudolente è attentamente calibrato per mantenere un tono istituzionale e rassicurante, evitando espressioni eccessivamente intimidatorie che potrebbero destare sospetti. L’elemento psicologico gioca un ruolo determinante nella riuscita dell’attacco, poiché il soggetto passivo, convinto di agire in modo razionale e autodeterminato, finisce per eseguire le istruzioni dell’attaccante, fornendo i propri dati personali o accedendo a piattaforme compromesse.
Le diverse forme di phishing e il loro funzionamento
Il phishing è un fenomeno in costante evoluzione, caratterizzato dall’adattamento delle tecniche di attacco alle nuove abitudini digitali degli utenti e ai sistemi di sicurezza implementati dalle piattaforme online. Sebbene il principio di base rimanga invariato, esistono diverse varianti diphishing, ciascuna con modalità operative specifiche, studiate per aumentare l’efficacia dell’inganno e rendere più complesso il riconoscimento della truffa. Per una sintesi sulla descrizione del fenomeno, rinviamo al sito dellaPolizia Postale.
Una delle forme più comuni è ildeceptive phishing, che si basa sull’invio massivo di comunicazioni fraudolente a un numero indeterminato di utenti, senza una selezione specifica della vittima. Il messaggio, solitamente veicolato tramite e-mail, riproduce l’identità grafica e il linguaggio di enti bancari, piattaforme di pagamento o servizi online di largo utilizzo, inducendo il destinatario a inserire le proprie credenziali di accesso in una pagina web contraffatta. Questa tipologia di attacco si caratterizza per l’approccio generico, in quanto mira a raggiungere il maggior numero possibile di utenti, confidando nel fatto che una percentuale di essi cadrà nella trappola.
Un’evoluzione del phishing tradizionale è rappresentata dallo spear Phishing, una tecnica più sofisticata che prevede una fase preliminare di raccolta delle informazioni sulla vittima, al fine di personalizzare il messaggio-esca. A differenza deldeceptive Phishing, che si affida a una strategia indiscriminata, lospear Phishingcolpisce in modo mirato, utilizzando dettagli specifici sulla persona o sull’organizzazione attaccata per conferire maggiore credibilità alla comunicazione fraudolenta. L’elemento distintivo di questa variante è l’elevato grado di verosimiglianza, che riduce la capacità della vittima di riconoscere la natura ingannevole del messaggio.
Ulteriori varianti del phishing includono losmishinge ilvishing, che differiscono dal modello classico per il mezzo di comunicazione impiegato. Losmishingsfrutta l’invio di SMS contenenti link dannosi o richieste di informazioni personali, mentre ilvishingutilizza chiamate telefoniche nelle quali il truffatore si spaccia per un operatore di banca, un ente pubblico o un servizio clienti, inducendo la vittima a fornire dati sensibili. In questi casi, l’attacco si avvale spesso della tecnica dellospoofing, che consente di alterare il numero di telefono del mittente per far apparire la chiamata come proveniente da un’istituzione affidabile.
Tra le forme più recenti di phishing si segnala ildeepfake phishing, una tecnica che combina l’uso dell’intelligenza artificialecon strumenti di manipolazione multimediale avanzati. Di tale nuova tipologia tratteremo nei paragrafi seguenti.
Phishing e il quadro giuridico: truffa e frode informatica
Il phishing rappresenta una condotta illecita priva di una specifica incriminazione autonoma all’interno del codice penale italiano. Tuttavia, la sua realizzazione si articola attraverso comportamenti riconducibili adiverse fattispecie criminose, tra cui latruffaprevista dall’art. 640 c.p., lafrode informaticadisciplinata dall’art. 640-ter c.p., lasostituzione di personaexart. 494 c.p. e l’accesso abusivo a un sistema informaticosanzionato dall’art. 615-ter c.p.. L’inquadramento giuridico della fattispecie varia a seconda delle modalità con cui il phishing viene perpetrato e degli strumenti utilizzati dal soggetto agente per appropriarsi indebitamente delle informazioni riservate della vittima.
La qualificazione del phishing cometruffaai sensi dell’art. 640 c.p.è stata oggetto di dibattito in dottrina e giurisprudenza. La disposizione punisce chi, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno. Il soggetto agente utilizza un messaggio decettivo, inducendo la vittima a ritenere autentica una comunicazione fraudolenta e a compiere volontariamente un’azione che determina un pregiudizio economico. La condotta del phisher, pertanto, può rientrare nella nozione ditruffa tradizionale, in quanto l’induzione in errore della vittima avviene mediante raggiri finalizzati all’ottenimento di un vantaggio patrimoniale illecito.
L’applicazione dell’art. 640-ter c.p., che disciplina lafrode informatica, diventa rilevante qualora l’attacco si realizzi attraverso l’alterazione di un sistema informatico o telematico. La norma punisce chiunque, “alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico”, ottenga un profitto illecito con danno altrui.
Tale disposizione potrebbe trovare applicazione nei casi in cui il phishing si concretizzi mediante l’uso di malware o software autoinstallanti che sottraggono dati sensibili della vittima senza che vi sia un’interazione consapevole da parte di quest’ultima. Secondo un recente orientamento giurisprudenziale, la frode informatica potrebbe applicarsi anche alle condotte più “tradizionali”, qualora l’attaccante riesca a ottenere il profitto intervenendo senza diritto su sistemi informatici (es. facendo uso delle credenziali precedentemente sottratte per eseguire un bonifico).
Un ulteriore profilo giuridico del phishing riguarda lasostituzione di persona, sanzionata dall’art. 494 c.p., qualora l’attaccante utilizzi illecitamente l’identità di un soggetto terzo, come un istituto bancario o un ente pubblico, per rendere più credibile l’inganno. Tale condotta si realizza quando il truffatore falsifica l’intestazione di un’e-mail o manipola l’identità del mittente per far apparire la comunicazione come proveniente da un soggetto istituzionale reale.
Infine, nelle ipotesi in cui l’autore del reato utilizzi le credenziali sottratte per accedere indebitamente agli account online della vittima, potrebbe configurarsi il il reato diaccesso abusivo a un sistema informatico o telematico, previsto dall’art. 615-ter c.p.. La disposizione punisce chi si introduce in un sistema informatico protetto senza autorizzazione o vi si mantiene contro la volontà del titolare. Tale reato assume particolare rilevanza nei casi in cui il phishing abbia come obiettivo il controllo degli account bancari della vittima o l’accesso a dati riservati custoditi in piattaforme online.
La sovrapposizione tra queste diverse fattispecie penali dimostra come la condotta, nel suo complesso, possa integrare una pluralità di reati, a seconda delle modalità esecutive adottate dalphisher. La giurisprudenza ha chiarito che, in determinati casi, può configurarsi un concorso di reati.
Phishing e nuove tecnologie: l’intelligenza artificiale al servizio della frode
Il phishing è un fenomeno in continua evoluzione, che trae vantaggio dall’innovazione tecnologica per affinare le proprie modalità operative e incrementare il tasso di successo degli attacchi. L’introduzione di strumenti avanzati, tra cui sistemi diintelligenza artificiale, ha reso le truffe informatiche ancora più sofisticate e difficili da individuare, riducendo sensibilmente la capacità delle vittime di riconoscere la natura fraudolenta delle comunicazioni ricevute.
L’intelligenza artificiale, grazie alla capacità di elaborare grandi quantità di dati e simulare il linguaggio naturale, viene impiegata dai criminali informatici per generare contenuti personalizzati che aumentano la credibilità dei messaggi diphishing. Gli algoritmi avanzati consentono di analizzare i comportamenti digitali delle vittime, raccogliere informazioni dai social network e creare messaggi ingannevoli altamente verosimili.
Un ulteriore sviluppo che ha incrementato la pericolosità del phishing è rappresentato dall’impiego della tecnologiadeepfake, che sfrutta l’intelligenza artificiale per creare contenuti multimediali falsificati. Questa innovazione ha portato alla diffusione di una nuova forma di attacco, nota come deepfake phishing, che si distingue per l’utilizzo di video, immagini o messaggi audio alterati in modo da riprodurre fedelmente l’aspetto e la voce di persone reali. Attraverso questi strumenti, i truffatori possono impersonare dirigenti aziendali, funzionari di enti pubblici o persone di fiducia della vittima, aumentando la probabilità che quest’ultima cada nell’inganno.
Ildeepfake phishingha trovato particolare applicazione nelle frodi aziendali e nei tentativi diCEO fraud, in cui i criminali informatici si spacciano per alti dirigenti di un’azienda e inducono dipendenti o collaboratori a effettuare bonifici fraudolenti o a condividere informazioni riservate. La capacità di generare contenuti audio e video realistici rende questa tipologia di attacco estremamente efficace, poiché la vittima, ritenendo di interagire con un interlocutore affidabile, difficilmente mette in dubbio l’autenticità della richiesta.
L’evoluzione tecnologica ha inoltre ampliato il raggio d’azione delphishing, consentendo la creazione di siti web contraffatti con livelli di realismo sempre più elevati. Gli attacchi che un tempo si limitavano alla semplice riproduzione grafica di una pagina web ora sfruttano l’intelligenza artificiale per replicare in tempo reale le interazioni tipiche di un portale legittimo, generando risposte dinamiche agli utenti e simulando il comportamento di un servizio autentico. Queste tecniche avanzate riducono la percezione del rischio e inducono le vittime a inserire le proprie credenziali senza sospettare la natura fraudolenta del sito visitato.
L’influenza delle nuove tecnologie sul phishing dimostra come la criminalità informatica sia in grado di adattarsi rapidamente ai cambiamenti del panorama digitale, sfruttando strumenti innovativi per perfezionare le proprie strategie fraudolente. La crescente sofisticazione degli attacchi richiede un approccio integrato alla sicurezza informatica, basato su una combinazione diprevenzione, formazione degli utenti e strumenti avanzati di protezione, al fine di contrastare efficacemente le minacce emergenti.
Prevenire il phishing: strategie e accorgimenti per difendersi
La prevenzione è l’elemento cardine nella difesa contro le frodi informatiche, poiché il riconoscimento tempestivo dei segnali d’allarme può evitare conseguenze dannose per gli utenti e le organizzazioni. La protezione contro ilphishingsi fonda su una combinazione dibuone pratiche di sicurezza informatica, strumenti tecnologici avanzati e un’adeguataconsapevolezza del rischio.
Uno degli aspetti fondamentali della prevenzione è il riconoscimento delle caratteristiche comuni degli attacchi Phishing. Le comunicazioni fraudolente presentano spesso elementi ricorrenti, tra cui un linguaggio persuasivo che richiama situazioni di emergenza, la richiesta di inserire credenziali personali, link che rimandano a pagine web contraffatte e mittenti dall’apparenza ingannevole.
L’analisi critica del contenuto di un’e-mail o di un messaggio, unita alla verifica dell’indirizzo del mittente e dell’autenticità dei collegamenti ipertestuali, rappresenta il primo strumento di autodifesa. Nessuna istituzione bancaria o azienda affidabile richiede l’inserimento di dati sensibili tramite e-mail o SMS, pertanto, la ricezione di simili richieste deve essere considerata un chiaro indicatore di un tentativo di Phishing.
Un ulteriore accorgimento essenziale è l’utilizzo dell’autenticazione a più fattori, che aggiunge un ulteriore livello di protezione agli account personali e aziendali. Questo sistema impedisce agli aggressori di ottenere accesso non autorizzato anche nel caso in cui riescano a sottrarre le credenziali di accesso, poiché sarà necessario un secondo codice di verifica generato su un dispositivo di proprietà dell’utente. L’implementazione dipassword robuste e unicheper ciascun servizio online riduce, inoltre, il rischio che la compromissione di un singolo account possa estendersi ad altre piattaforme.
L’installazione e l’aggiornamento regolare di software di sicurezza, tra cui antivirus, firewall e filtri anti-phishing, contribuisce in modo significativo alla protezione dalle minacce informatiche. Molti servizi di posta elettronica integrano già sistemi di rilevamento automatico che segnalano i messaggi sospetti o li collocano direttamente nella cartella spam. Tuttavia, è opportuno adottare ulteriori misure, come l’abilitazione di funzionalità avanzate di protezione della navigazione e l’uso di estensioni browser progettate per identificare siti web malevoli prima che l’utente inserisca informazioni sensibili.
Un ruolo determinante nella prevenzione delphishingè svolto dallacybersecurity awareness, ovvero la formazione degli utenti sui rischi legati alle truffe informatiche e sulle corrette pratiche di comportamento online. In ambito aziendale, l’adozione diprogrammi di formazione periodicaper il personale riduce sensibilmente la vulnerabilità delle organizzazioni agli attacchi mirati.
Molti attacchi diphishing, infatti, prendono di mira dipendenti e dirigenti per ottenere accesso alle infrastrutture informatiche aziendali, sfruttando la mancanza di consapevolezza sui rischi informatici. L’organizzazione disimulazioni di attacchi phishing, in cui gli utenti vengono esposti a e-mail fraudolente create a scopo didattico, rappresenta un metodo efficace per migliorare la capacità di riconoscere e reagire correttamente ai tentativi di frode.
Nel caso in cui si sospetti di aver ricevuto una comunicazione fraudolenta, è essenzialeevitare di cliccare su link o scaricare allegati, e verificare l’autenticità del messaggio contattando direttamente l’ente o l’azienda presunta mittente attraverso i canali ufficiali. In caso di dubbio, è sempre preferibile non eseguire alcuna azione e procedere a una verifica preventiva. Le autorità di regolamentazione e gli istituti bancari forniscono strumenti per segnalare i tentativi di phishing, contribuendo così a identificare e bloccare gli attacchi in corso.
In definitiva, la prevenzione del Phishing richiede un approccio multidisciplinare, che combini tecnologie di protezione, consapevolezza e buone pratiche di sicurezza digitale.
Conclusioni: cosa fare in caso di attacco phishing
La crescente sofisticazione delle tecniche di attacco rende essenziale l’adozione di misure preventive efficaci, basate sulla consapevolezza dei rischi e sull’utilizzo di strumenti di sicurezza avanzati. Il riconoscimento tempestivo dei segnali di un tentativo di phishing, unito all’applicazione di protocolli di autenticazione e verifica, è la strategia più efficace per evitare di cadere vittima di truffe informatiche.
Nel caso in cui un attacco abbia già avuto successo, è fondamentale intervenire immediatamente, segnalando l’accaduto alle autorità competenti, contattando il proprio istituto bancario per limitare i danni finanziari e adottando misure per ripristinare la sicurezza dei propri account e dispositivi.
La protezione dalle frodi informatiche non può prescindere da un’adeguata consulenza legale e da un’efficace gestione della sicurezza cibernetica. Ilnostro Studiofornisce supporto specializzato a privati e aziende nella prevenzione e gestione delle conseguenze derivanti da attacchi informatici, offrendo assistenza nella valutazione dei rischi, nella predisposizione di strategie di tutela e nella difesa dei diritti direati informatici.
