La continua evoluzione delle tecnologie informatiche, unita al dilagare dei crimini ad essa connessi, impone una riflessione sul punto. La privacy di ognuno di noi è messa costantemente a dura prova.
Ed è proprio in funzione di queste criticità che l’aggiornamento tecnologico necessita di una produzione normativa ingente che sia al passo con la mutevolezza di questo mondo così vasto onde poter arginare i sempre più numerosi ed imprevedibili reati informatici.
Definizione e tipologie
Il reato informatico (o cybercrime) consiste in una attività criminosa, analoga a quella tradizionale ma caratterizzata dall’abuso di componenti della tecnologia dell’informazione (sia hardware che software).
L’attenzione per queste attività crebbe quando, con lo sviluppo dell’“industria informatica”, emerse la finalità del profitto personale (cracker) e quando a livello internazionale diversi Stati mirarono alla lotta contro il terrorismo e allo spionaggio.
La gamma dei possibili attacchi informatici è molto ampia e nella Raccomandazione del 13.9.1989 il Consiglio UE ne elenca ben 14 tipi, in dottrina spesso raggruppati in due categorie:
• utilizzo della tecnologia informatica per compiere l’abuso: malware;
• utilizzo della tecnologia informatica nella realizzazione del fatto criminoso: cyberstalking.
Le principali tipologie di Cybercrime sono:
- Malware
Il termine “malware” identifica applicazioni dannose finalizzate ad arrecare danno informatico alla vittima, per esempio tentando di accedere segretamente a un particolare dispositivo senza che l’utente ne sia a conoscenza per raccogliere informazioni o criptarne i dati.
- Attacchi Ransomware
Un “ransomware” è un particolare tipo di malware che, dopo aver limitato o impedito del tutto l’accesso al sistema infettato, richiede una somma di denaro da pagare per la sua rimozione.
- Attacchi di Phishing
Per “phishing” si intendono i tentativi di frode informatica volti a carpire i dati sensibili degli utenti. Generalmente un attacco di phishing si traduce nell’invio di e-mail, contenenti indicazioni e loghi “familiari”, con cui si invita la vittima a fornire informazioni riservate.
- Spamming
Con tale espressione si intende normalmente l’invio indiscriminato di messaggi di posta elettronica senza il consenso del destinatario. Si tratta solitamente di e-mail aventi contenuto pubblicitario.
- Dialer
Il Dialer non è un virus, ma consiste in un piccolo programma scritto per dirottare la connessione internet dell’utente verso un altro numero telefonico. L’utente viene colpito solo nel momento in cui il Dialer viene installato sul proprio computer. Una volta installato, sostituisce il numero di connessione con un numero caratterizzato da una tariffa maggiorata. Di per sé i Dialer non sono illegali, le aziende li utilizzano per far pagare agli utenti i contenuti venduti online, accreditando il costo direttamente alla bolletta; diventano una truffa quando l’azienda non avverte l’utente che sta installando il file sul computer.
Il cybercrime legato al fattore umano
I tipi di vulnerabilità che maggiormente impattano in maniera negativa sulla sicurezza aziendale riguardano la scarsa consapevolezza dei dipendenti rispetto alle policy e alle buone pratiche di comportamento introdotte in azienda. Per la salvaguardia del proprio patrimonio informativo, le aziende italiane si affidano sempre più a un Responsabile della sicurezza informatica, noto con l’appellativo di CISO (Chief Information Security Officer).
Il cybercriminale
Ancora oggi definiamo cybercriminale colui che attua una condotta che si estrinseca attraverso la violazione delle reti telematiche e dei sistemi informatici ed è accompagnata da finalità meramente ludiche che con il tempo possono mutare, trasformandosi in comportamenti con scopo di lucro.
L’aspetto interessante è quello che concerne l’incapacità dell’individuo di prendere coscienza dell’illiceità del proprio operato. In altre parole, lo sviluppo del settore informatico genera in alcuni soggetti delle alterazioni nella percezione del crimine, inducendoli ad attuare comportamenti criminali che difficilmente realizzerebbero al di fuori del cyberspazio, come ad esempio i pedofili che non avrebbero mai il coraggio di adescare un bambino per strada.
Altro aspetto importante concerne le conoscenze del cybercriminale. Infatti, vi è la convinzione che per realizzare la condotta illegale siano necessarie abilità tecniche superiori alla media, premessa che risulta non solo errata ma frutto di sostanziale inconsapevolezza.
Secondo una prima classificazione basata sul livello di abilità, risalente al 1987, gli autori degli illeciti devono essere distinti in:
1. crackers: dotati di elevate competenze;
2. hackers: detentori di conoscenze di medio livello;
3. rodents: competenze scarse e basso profilo.
La normativa
Sollecitata dall’UE, l’Italia ha recepito la “Raccomandazione del Consiglio 13 settembre 1989, n. 9 sulla repressione della criminalità informatica”.
Lo ha fatto integrando il Codice penale con la Legge 23 dicembre 1993, n. 547 (G.U. 30.12.1993, n. 305), che individua le fattispecie di reato informatico e infligge sanzioni detentive e pecuniarie.
L’integrazione è avvenuta ponendo accanto ai reati già esistenti nel Codice penale le nuove specie di reato. Anche dopo l’entrata in vigore della legge, non è stata prestata attenzione alla prevenzione e repressione dei reati informatici/telematici da parte delle imprese, nonostante questa fosse auspicata dal Legislatore. Infatti, le imprese (specie le Banche) preferivano subire in silenzio l’attacco informatico piuttosto che rendere nota la debolezza del proprio sistema di protezione dei dati. Inoltre, l’azione giudiziaria presentava alte difficoltà probatorie e risultati incerti anche per carenza di precedenti giurisprudenziali.
Come già detto, si è in presenza di un cybercrime sia quando la condotta o l’oggetto materiale del crimine è correlato ad un sistema informatico o telematico, sia quando l’illecito è perpetrato sfruttando o colpendo il sistema.
Nel primo caso si parla di reati informatici impropri, disciplinati espressamente dal Codice penale e dalla legislazione speciale.
Nel secondo caso, invece, si parla di reati informatici propri il cui scopo consiste unicamente nell’offendere il sistema informatico.
Tali fattispecie sono state introdotte nel nostro ordinamento non solo dalla Legge n. 547/1993, ma anche dalla Legge n. 48/2008, applicata in Italia a seguito di quanto richiesto con la Convezione sulla criminalità informatica del Consiglio d’Europa di Budapest del 23 novembre 2001, il primo accordo internazionale riguardante i reati commessi tramite internet o altre reti informatiche.
La consapevolezza della rilevanza transnazionale delle condotte di criminalità informatica ha indotto il consiglio d’Europa con la Convenzione di Budapest a suggerire agli Stati membri alcuni principi su cui ispirarsi nella disciplina sanzionatoria del fenomeno del Cybercrime, in modo da consentire che le problematiche penalistiche venissero regolamentate in maniera uniforme.
Il cyber crime in Italia secondo la Polizia Postale
Dal 2020 al 2021 vi è stato un aumento del 98% degli arresti da parte della Polizia Postale per frodi e crimini informatici.
Nell’anno 2021, il dilagare della pandemia da Covid-19 ha sensibilmente inciso sullo scenario complessivo del cyber crime, costituendo un importante terreno di azione, per attori virtuali ostili di ogni genere, per dirigere attacchi informatici di natura estorsiva a Governi ed infrastrutture sanitarie.
L’azione svolta dalla Polizia Postale e delle Comunicazioni, sin dal 2005, opera attraverso il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC).
Nella prevenzione e nel contrasto al cybercrime, anche la cooperazione internazionale assume un ruolo assolutamente strategico, atteso che la transnazionalità delle condotte illecite connota costantemente l’indagine giudiziaria di specifico settore.
Ordinariamente, infatti, è all’estero che si consuma, almeno parzialmente, la condotta criminosa e, tanto le tracce informatiche, quanto le tracce finanziarie, frequentemente, riconducono fuori dal territorio nazionale.
Conclusioni
La centralità del ruolo acquisito dall’informatizzazione ha apportato indiscutibilmente dei benefici nella nostra società, ma al contempo ci ha resi più vulnerabili. Negli ultimi anni, l’attenzione è stata focalizzata sulla politica dell’informazione per la sicurezza per cercare di colmare le lacune prodotte dal lungo processo di emanazione delle norme giuridiche vigenti nell’ordinamento italiano. Ebbene, le sofisticate forme criminali di fronte alle quali siamo posti di certo non rendono più agevole l’amaro compito che lo Stato è chiamato a svolgere: rispettare la sottile linea di confine che intercorre fra la tutela delle informazioni e la tutela della libertà personale.
Si tratta di equilibri non facili da creare e quasi impossibili da mantenere in una società che si muove ad una velocità elevata.
Autrice: Linda Macari
Associazione studentesca bocconiana. Abbiamo lo scopo di promuovere attività di approfondimento e studio del diritto penale.
