Nel panorama dei crimini connessi all’uso di strumenti tecnologici, un’unica condotta digitale può generare una pluralità di comportamenti penalmente rilevanti, riconducibili a fattispecie di reato differenti. Per orientarsi in questa materia è utile muovere da un nucleo tecnico comune a gran parte degli attacchi informatici a sfondo patrimoniale: l’ingegneria sociale e la sua applicazione più diffusa, il phishing.
Ingegneria sociale: il fondamento tecnico dell’inganno
L’ingegneria sociale può essere definita come l’insieme di tecniche volte a indurre un soggetto a rivelare informazioni sensibili – una password, un codice di accesso, un dato riservato – attraverso metodi di manipolazione psicologica piuttosto che attraverso una violazione tecnica diretta dei sistemi. L’obiettivo non è “bucare” un sistema informatico, ma convincere una persona a consegnarne volontariamente le chiavi.
Il phishing, insieme alle sue varianti smishing (tramite SMS) e vishing (tramite chiamata vocale), rappresenta la principale declinazione operativa di questa strategia. L’attore malintenzionato adesca la vittima – solitamente via e-mail, SMS o messaggistica – inducendola a visitare un sito apparentemente autentico ma in realtà contraffatto, con il solo scopo di carpirne le credenziali di accesso per un successivo utilizzo illecito.
Il tratto distintivo di queste tecniche è la falsa attribuzione di affidabilità: l’aggressore si presenta come un soggetto fidato – un familiare, un collega, un referente IT, un’organizzazione nota – per abbassare le difese della vittima e indurla a fornire spontaneamente le proprie credenziali. Le credenziali compromesse vengono poi utilizzate per accedere a reti aziendali, caselle di posta elettronica, sistemi di home banking o aree riservate in cloud, tanto in ambito personale quanto professionale.
Ciò che rende queste tecniche efficaci non è la loro sofisticazione tecnologica, quanto piuttosto lo studio accurato del profilo della vittima e della rete di relazioni che la circonda: email mirate che impersonano un supervisore, un collega di fiducia o il personale IT sono costruite su una ricognizione preventiva del contesto lavorativo e sociale del bersaglio.
Il fattore di rischio del lavoro da remoto
L’incremento esponenziale di questi episodi è direttamente collegato alla trasformazione delle modalità di lavoro, con una quota crescente di personale operante fuori dalla sede aziendale e il conseguente ricorso ad accessi da remoto e alla condivisione di dati e comunicazioni vocali. Questo scenario ha ampliato in modo significativo la superficie di attacco, imponendo una maggiore attenzione da parte dei responsabili IT e sicurezza informatica.
Un esempio paradigmatico è rappresentato dagli attacchi condotti sfruttando il protocollo VoIP (Voice Over Internet Protocol), utilizzato per instradare comunicazioni telefoniche e videoconferenze verso l’utente fuori sede come se operasse dalla propria postazione fisica. Su questa infrastruttura si innestano tecniche di caller ID spoofing, ossia la falsificazione dell’identificativo del chiamante, che sfruttano la fiducia diffusa nella sicurezza dei servizi telefonici – comprese le linee fisse – per carpire informazioni personali o riservate.
Phishing basato su malware: dal trojan al ransomware
Accanto al phishing “tradizionale”, finalizzato alla sola sottrazione di credenziali, esiste una categoria di attacchi ben più insidiosa, il phishing basato su malware. Anche in questo caso l’aggressore si presenta come fonte affidabile, ma l’obiettivo non è ottenere una password bensì indurre la vittima a cliccare un collegamento ipertestuale malevolo o ad aprire un allegato infetto, con l’effetto di eseguire un codice dannoso sul sistema colpito.
La conseguenza più grave è l’installazione di un programma che consente accessi ripetuti e non autorizzati al sistema, secondo la tecnica nota come “cavallo di Troia” (trojan). Da questa base tecnica derivano spesso minacce ulteriori e più pericolose, come nel caso combinato di CryptoLocker e installazione di ransomware.
CryptoLocker è un attacco veicolato tipicamente da un trojan, diffuso attraverso e-mail con collegamenti ipertestuali, supporti USB non controllati o software apparentemente legittimo (versioni di prova) che in realtà nasconde finalità dannose. Gli effetti non si limitano al blocco operativo dei sistemi: l’attacco può comportare il furto di informazioni, l’accesso e la movimentazione fraudolenta di operatività finanziaria (prelievi da conti correnti) e un vero e proprio ricatto, con richiesta di pagamento per lo sblocco dei sistemi o la restituzione dei dati sottratti.
Il “financial manager”: l’anello che chiude la catena criminale
Un elemento spesso trascurato nell’analisi di queste condotte è il ruolo del cosiddetto financial manager, il soggetto che, con competenza tecnica specifica, gestisce le operazioni di trasferimento del denaro sottratto – money transfer, operazioni bancarie digitali, transazioni in criptovaluta, utilizzo di prestanome – dirottando verso conti prevalentemente esteri le somme prelevate abusivamente o incassate a titolo di riscatto ransomware.
Questa figura opera solitamente nell’ambito di un’organizzazione strutturata e articolata, composta da operatori con competenze specifiche e reti di appoggio, che spesso sfrutta anche utenti ignari e inconsapevoli per agevolare i trasferimenti bancari senza escludere, naturalmente, la presenza di soggetti pienamente consapevoli e complici dell’organizzazione delinquenziale.
Le implicazioni giuridiche: concorso, riciclaggio, ricettazione
Sul piano normativo italiano manca a oggi una disciplina sostanziale specifica per queste condotte, diversamente da quanto avvenuto, ad esempio, nell’ordinamento francese, che è intervenuto arricchendo il proprio codice penale di nuove fattispecie in materia di reati contro il patrimonio, la fede pubblica e le diverse forme di manipolazione informatica.
Nel nostro ordinamento, i reati vengono ricondotti alla legislazione penale esistente sulla base delle modalità con cui sono stati concretamente perpetrati. In questo quadro assume particolare rilievo la posizione giuridica del financial manager, la cui responsabilità penale dipende in modo determinante dal grado di consapevolezza dell’attività criminosa sottostante.
La giurisprudenza ha chiarito che il financial manager risponde a titolo di concorso nei medesimi reati commessi dal phisher – sostituzione di persona (art. 494 c.p.), accesso abusivo a sistema informatico (art. 615-ter c.p.) e truffa (art. 640 c.p.) – solo qualora abbia agito con piena consapevolezza dell’intera articolazione dell’attività criminosa posta in essere a danno dei correntisti.
Qualora invece risulti all’oscuro della genesi illecita delle somme movimentate, ma consapevole della loro provenienza non lecita al momento di riceverle o trasferirle, il financial manager risponde piuttosto di ricettazione (art. 648 c.p.) o di riciclaggio (art. 648-bis c.p.). In sostanza, questi due reati risultano configurabili solo quando sia dimostrabile che il soggetto, consapevole dell’origine illecita del denaro, abbia operato per concludere le transazioni — anche verso l’estero — secondo le modalità impartite dal phisher.
Una mappa delle fattispecie correlate, con i riferimenti codicistici
Le condotte fin qui esaminate si collocano all’interno di un catalogo più ampio di reati riconducibili all’uso di strumenti informatici. Di seguito si riportano, sinteticamente, le fattispecie penali astrattamente configurabili per ciascuna di esse, nella consapevolezza che la qualificazione giuridica definitiva dipende sempre dalle circostanze del caso concreto e dall’accertamento dell’elemento soggettivo.
Fattispecie fondate sulla violazione di un dispositivo o di un sistema informatico
- Cryptolocker e Ransomware: artt. 615-ter (accesso abusivo a un sistema informatico), 615-quater (detenzione e diffusione abusiva di codici di accesso), 615-quinquies (diffusione di programmi diretti a danneggiare o interrompere un sistema informatico), 640-ter (frode informatica) e 629 c.p. (estorsione), quest’ultimo riferibile alla richiesta di riscatto.
- Cyberlaundering: artt. 648 (ricettazione) e 648-bis c.p. (riciclaggio), applicabili a seconda del grado di consapevolezza dell’agente circa la provenienza illecita delle somme.
- Cybersquatting e Typosquatting: artt. 473 (contraffazione, alterazione o uso di segni distintivi) e 640 c.p. (truffa), oltre alla tutela apprestata in sede civile dal Codice della proprietà industriale (D.Lgs. 30/2005) e dagli artt. 2569 e seguenti c.c.
- Keylogger e Sniffing: artt. 615-ter, 615-quater e 640-ter c.p.
- Mailbombing: art. 635-bis c.p. (danneggiamento di informazioni, dati e programmi informatici), talvolta in concorso con l’art. 617-quater c.p. (intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche).
- Phishing: artt. 494 (sostituzione di persona), 615-ter (accesso abusivo a un sistema informatico o telematico), 617-sexies (falsificazione di comunicazioni informatiche), 640 (truffa) e 640-ter c.p. (frode informatica).
- Scam: artt. 494, 640 e 640-ter c.p.
- Smishing e Vishing: artt. 615-ter, 615-quater (detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici) e 640-ter c.p.
- Spamming: di norma non integra un reato in senso proprio, ma una violazione amministrativa disciplinata dagli artt. 18, 19, 23, 123, 126 e 130 del previgente Codice della privacy (D.Lgs. 196/2003, oggi in parte assorbito dal quadro del GDPR), salva l’ipotesi più grave dell’art. 167 dello stesso decreto (trattamento illecito di dati).
Condotte a matrice relazionale e sessuale su piattaforme social
In queste ipotesi la “scena criminis” non si concentra sulla violazione di un singolo dispositivo, ma si sposta sugli ambienti digitali dei social network e delle piattaforme di condivisione.
- Baiting: artt. 595 (diffamazione) e 660 c.p. (molestia o disturbo alle persone).
- Candy Girl / Dancing Girl (autoproduzione di contenuti a sfondo sessuale da parte di un minore, anche in cambio di ricariche telefoniche o piccoli regali): per il soggetto che interagisce con il minore rilevano gli artt. 600-ter (pornografia minorile) e 600-quater c.p. (detenzione di materiale pedopornografico), oltre al possibile concorso dell’art. 609-undecies c.p. (adescamento di minorenni).
- Happy Slapping: artt. 581 (percosse), 582 (lesioni personali), 583 (circostanze aggravanti), 595 c.p. (diffamazione) e 615-bis c.p. (interferenze illecite nella vita privata), oltre ai profili civilistici di cui all’art. 10 c.c. e agli artt. 96-97 della legge 22 aprile 1941, n. 633 sul diritto d’autore.
- Sexting: condotta di per sé non punibile se relativa allo scambio consensuale tra maggiorenni, ma suscettibile di rilievo penale — ai sensi degli artt. 600-ter e 600-quater c.p. — qualora coinvolga minori, ovvero di sfociare, in caso di successiva diffusione non consensuale, nella fattispecie di Revenge Porn.
- Revenge Porn: art. 612-ter c.p. (diffusione illecita di immagini o video sessualmente espliciti), introdotto dall’art. 10 della legge 19 luglio 2019, n. 69 (il c.d. “Codice Rosso”).
Questa classificazione — elaborata anche dal Ministero della Giustizia nel proprio Glossario Cybercrime “iGloss@”, predisposto a fini di prevenzione ed educazione digitale rivolte ai minori — ha valore orientativo: la sussunzione di ciascuna condotta nella singola fattispecie richiede sempre una valutazione in concreto degli elementi oggettivo e soggettivo del reato, secondo le regole ordinarie del diritto penale.
Conclusioni
L’analisi di queste dinamiche evidenzia come il fenomeno del cybercrime patrimoniale non si esaurisca nell’atto tecnico dell’attacco informatico, ma si estenda a una filiera più ampia — dall’ingegneria sociale alla monetizzazione del provento illecito — nella quale intervengono soggetti con ruoli e livelli di responsabilità penale differenziati. Comprendere questa articolazione è un presupposto indispensabile non solo per l’inquadramento giuridico delle condotte, ma anche per l’impostazione delle strategie di prevenzione e risposta agli incidenti in ambito aziendale.
Sul piano tecnico, l’esame di queste fattispecie costituisce inoltre la premessa necessaria per affrontare un tema strettamente connesso: quello dell’acquisizione e della genuinità del documento informatico, aspetto che sarà oggetto di successivo approfondimento.
