Un’accusa per reato informatico può nascere da un accesso a un account, dall’uso di credenziali aziendali, da un pagamento digitale contestato, da file sottratti o dall’analisi di un telefono e di un server. Il fatto che l’episodio avvenga online non rende però la risposta automatica: occorre distinguere chi poteva entrare in un sistema, che cosa ha effettivamente fatto, quali dati sono stati acquisiti e se la prova digitale conserva attendibilità e pertinenza.

In questa guida voglio chiarire che cosa si intende per cybercrime nel processo penale, perché accesso abusivo e frode informatica non coincidono, quali effetti può avere il sequestro di dispositivi e quali scelte meritano attenzione fin dall’inizio. Milano può essere il luogo in cui ricevi un avviso, una perquisizione o una convocazione, ma la qualificazione dei fatti dipende dalle condotte contestate e dagli elementi raccolti.

Reati informatici: l’accusa deve indicare una condotta precisa

“Reato informatico” non è un’unica fattispecie. È un’espressione che comprende delitti diversi, ciascuno con presupposti propri. L’accesso abusivo riguarda l’ingresso o la permanenza non autorizzati in un sistema protetto; la frode informatica richiede invece una manipolazione del sistema o un intervento senza diritto su dati, informazioni o programmi, accompagnati da un profitto ingiusto e da un danno altrui.

Perciò non basta che un’attività sia stata svolta tramite computer, smartphone, posta elettronica o piattaforma cloud. Un pagamento contestato può dipendere dall’uso non autorizzato di un account, dall’inganno di una persona, da un errore operativo o dall’alterazione di dati. Sono ipotesi che possono portare a qualificazioni differenti e richiedono di individuare con precisione il passaggio tecnico e il comportamento umano attribuito alla persona indagata.

La legge n. 90 del 2024 ha rafforzato la disciplina penale di vari reati informatici e le conseguenze patrimoniali collegate a determinati delitti. Per fatti avvenuti in periodi diversi, la disciplina applicabile richiede attenzione anche alle norme transitorie e al principio per cui una legge penale più severa non si applica retroattivamente. Il testo della riforma è disponibile nella legge 28 giugno 2024, n. 90.

L’accusa non si dimostra con il solo indirizzo IP. Un indirizzo di rete, un account registrato a un nominativo o un dispositivo trovato in un luogo possono costituire elementi di indagine, ma non risolvono da soli la domanda centrale: chi ha compiuto l’azione e con quali poteri di accesso. Possono assumere rilievo, ad esempio, la disponibilità concreta delle credenziali, i log, l’uso condiviso del dispositivo, le autorizzazioni aziendali e la sequenza temporale delle operazioni.

Accesso abusivo: quando l’accesso supera i limiti consentiti

L’accesso abusivo tutela il controllo sul sistema. L’articolo 615-ter del codice penale riguarda chi si introduce abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, oppure vi rimane contro la volontà, espressa o anche tacita, di chi ha il diritto di escluderlo. Il punto non è soltanto superare una password: conta se l’accesso era consentito in concreto e nei limiti in cui è stato effettuato.

Una credenziale autentica non equivale sempre a un’autorizzazione illimitata. Chi dispone di un account personale, di un profilo aziendale o di un accesso tecnico può essere abilitato soltanto a determinate funzioni, archivi o fasce operative. Il limite dell’autorizzazione può risultare da incarichi, policy informatiche, regole di servizio, ruoli assegnati oppure da una revoca comunicata all’utente. Anche l’uso di password ricevute in passato va letto nel contesto: la disponibilità materiale del codice e il diritto di usarlo non sono la stessa cosa.

Il sistema deve essere realmente protetto

Le misure di sicurezza hanno un ruolo decisivo. Password, autenticazione a più fattori, profili abilitativi, restrizioni di rete e controlli sugli accessi sono elementi che possono dimostrare la protezione del sistema. Non occorre immaginare soltanto infrastrutture sofisticate: anche una casella di posta elettronica o un archivio cloud possono rientrare nella nozione di sistema informatico se sono organizzati e protetti.

Se invece il dato era liberamente accessibile, occorre evitare conclusioni affrettate. L’assenza di una barriera tecnica può incidere sulla contestazione dell’accesso abusivo, ma non elimina automaticamente ogni altra possibile rilevanza penale. La lettura, la copia, la diffusione o l’uso successivo di informazioni possono porre problemi diversi, che vanno separati dalla domanda iniziale su come si sia entrati nel sistema.

Entrare, restare, usare i dati: sono passaggi distinti

La cronologia delle azioni cambia la difesa. Può essere contestato un ingresso iniziale non autorizzato; in altri casi l’accesso nasce legittimamente e diventa problematico perché prosegue dopo una revoca; in altri ancora il tema principale è l’uso dei dati ottenuti. Confondere questi passaggi rende più difficile comprendere sia l’addebito sia la prova necessaria per sostenerlo.

Un messaggio che revoca le autorizzazioni, la data di cessazione di un incarico, la configurazione dei permessi e le registrazioni del sistema possono quindi assumere importanza concreta. Non basta affermare che l’account era disponibile: occorre comprendere se l’uso contestato rientrava nelle funzioni assegnate e se l’eventuale divieto era conoscibile dalla persona che ha effettuato l’accesso.

Frode informatica, dati alterati e strumenti di accesso

La frode informatica richiede un danno e un profitto. L’articolo 640-ter del codice penale non punisce ogni uso improprio di un computer. La fattispecie richiede l’alterazione del funzionamento di un sistema oppure un intervento senza diritto su dati, informazioni o programmi, dal quale derivino un profitto ingiusto e un danno per un altro soggetto. Un trasferimento di denaro o una modifica di crediti digitali possono essere rilevanti, ma bisogna ricostruire il meccanismo e l’effetto economico concreto.

L’articolo 640-ter vigente prevede anche un’ipotesi aggravata quando la frode è commessa con furto o indebito utilizzo dell’identità digitale in danno di una o più persone. L’identità digitale va collegata al fatto concreto: devono essere accertati il suo utilizzo, la condotta sul sistema o sui dati, il profitto ingiusto e il danno. La sola presenza di un account intestato ad altri non sostituisce questa verifica.

Danneggiare dati non equivale sempre a sottrarli. La cancellazione, il deterioramento o il rendere inutilizzabili dati, programmi o sistemi possono ricadere nelle norme sul danneggiamento informatico. Sono invece diversi i casi in cui vengono contestati strumenti, codici o credenziali predisposti o diffusi per accedere abusivamente a sistemi protetti. La legge distingue la condotta di chi entra, quella di chi compromette dati e quella di chi mette a disposizione mezzi idonei all’accesso: la difesa deve restare aderente alla contestazione effettiva.

La finalità attribuita alla condotta conta. Un programma di amministrazione remota, uno script o una password possono avere un uso legittimo in un contesto tecnico autorizzato e assumere significato diverso se impiegati fuori dai poteri assegnati. Per questo, nella ricostruzione del fatto, non è sufficiente il nome di uno strumento informatico: servono il modo in cui è stato usato, l’ambiente in cui operava e il rapporto tra quell’uso e l’evento contestato.

Prova digitale e sequestri: il dispositivo non coincide con i suoi dati

Uno smartphone sequestrato contiene molto più del fatto contestato. Messaggi, fotografie, credenziali, app di autenticazione, dati sanitari, rapporti personali e attività professionali possono convivere sullo stesso dispositivo. Per questa ragione, nel procedimento penale occorre distinguere il bene materiale, come il telefono o il computer, dai dati che l’autorità intende acquisire e analizzare.

La disciplina introdotta dalla legge n. 48 del 2008 richiede, nelle perquisizioni informatiche, misure tecniche dirette a conservare i dati originali e a impedirne l’alterazione. Per i dati detenuti da fornitori di servizi, l’articolo 254-bis del codice di procedura penale consente l’acquisizione in copia con una procedura che assicuri conformità all’originale e immodificabilità, con obblighi di conservazione dei dati originali. Il testo delle modifiche è consultabile nella legge 18 marzo 2008, n. 48.

La copia forense serve a preservare il dato. In termini semplici, è una duplicazione realizzata con metodi idonei a documentare che il contenuto esaminato corrisponde a quello acquisito e non è stato modificato. Non trasforma però automaticamente ogni file, chat o log in una prova decisiva. Restano da verificare l’origine del dato, la completezza dell’acquisizione, l’arco temporale selezionato, la riconducibilità dell’account e il collegamento tra il contenuto e il fatto contestato.

Accertamenti tecnici e partecipazione della difesa

Alcune operazioni possono non essere ripetibili. Quando il pubblico ministero dispone accertamenti tecnici su cose, persone o luoghi il cui stato è soggetto a modificazione, l’articolo 360 del codice di procedura penale prevede avvisi alla persona sottoposta alle indagini, alla persona offesa e ai difensori, con la facoltà di nominare consulenti tecnici. La disciplina è richiamata nel testo vigente pubblicato da Normattiva sulla modifica dell’articolo 360 c.p.p..

Non ogni analisi digitale segue lo stesso percorso. La qualificazione dell’atto dipende dalla sua natura e dal rischio di modifica o perdita del dato. Una volta ricevuto un avviso relativo a operazioni tecniche, è importante comprendere subito che cosa verrà estratto, su quale supporto, con quale oggetto e con quali possibilità di partecipazione. Il tema non è soltanto tecnico: riguarda il contraddittorio, cioè la possibilità per le parti di confrontarsi sulla formazione della prova.

Il controllo sul sequestro può restare rilevante anche dopo la restituzione. La Corte di cassazione ha ribadito, in un caso specifico, l’illegittimità di una nuova acquisizione dei medesimi dati tramite ispezione informatica dopo l’annullamento del sequestro probatorio e prima della restituzione della copia forense. La decisione mostra quanto il provvedimento, i suoi limiti e la sequenza delle acquisizioni possano incidere sull’utilizzabilità dei dati: Cassazione penale, sentenza n. 31180 depositata il 30 luglio 2024.

Le prime scelte dopo un avviso, una perquisizione o un sequestro

Non modificare dati o dispositivi coinvolti. Cancellare messaggi, reinstallare un sistema operativo, cambiare password per sottrarre un account all’analisi o alterare registri tecnici può aggravare la situazione e rendere più difficile ricostruire correttamente i fatti. Conservare ciò che è già nella propria disponibilità non significa diffondere dati di terzi o svolgere iniziative invasive: significa evitare interventi che cambino il materiale potenzialmente rilevante.

La contestazione va letta parola per parola. Un decreto di perquisizione o sequestro, un’informazione di garanzia, un invito a comparire o un avviso di conclusione delle indagini indicano, con livelli diversi di dettaglio, il fatto ipotizzato e la fase procedurale. Le norme richiamate, la data del fatto, i dispositivi interessati e l’oggetto dell’acquisizione aiutano a capire se l’ipotesi riguarda un accesso, una frode, il danneggiamento di dati o un diverso reato.

Parlare subito non è un obbligo automatico. La scelta di rendere dichiarazioni richiede di conoscere l’addebito e gli atti disponibili, perché una spiegazione tecnica parziale può essere interpretata fuori contesto. Al tempo stesso, attendere non sostituisce la tutela delle facoltà processuali quando sono previsti termini per reagire a un provvedimento. La strategia utile dipende dalla fase, dal contenuto degli atti e dalla presenza di dati tecnici da chiarire.

Per chi denuncia, il problema è anche preservare la traccia. Se ritieni di aver subito un accesso o una frode, screenshot isolati e conversazioni inoltrate possono non bastare a ricostruire l’accaduto. È utile conservare le comunicazioni ricevute, le notifiche di sicurezza, le date, gli identificativi delle operazioni e i rapporti con il gestore del servizio, senza alterare l’account o cancellare avvisi. La procedibilità può variare in base al reato e alle eventuali aggravanti: non è prudente dare per scontato che una querela sia sempre necessaria o sempre esclusa.

Difesa penale e chiarimento tecnico: due piani che devono dialogare

La competenza tecnica non sostituisce la difesa penale. Un consulente può spiegare il funzionamento di un log, la provenienza di un file, il significato di un indirizzo IP o le modalità con cui è stata creata una copia. Il procedimento, però, richiede anche di verificare se quel dato è stato acquisito legittimamente, se è pertinente al fatto e se dimostra davvero ciò che l’accusa gli attribuisce.

La spiegazione tecnica deve restare verificabile. Dire che un account è stato compromesso, che un dispositivo era condiviso o che un’operazione è automatizzata può essere rilevante soltanto se esistono dati concreti con cui confrontare l’ipotesi. Configurazioni, cronologie, log, autorizzazioni e comunicazioni possono assumere peso diverso secondo il fatto contestato. Una ricostruzione credibile distingue ciò che è documentato da ciò che resta soltanto possibile.

Sequestri e continuità operativa sono problemi distinti. Per chi usa strumenti digitali per attività professionali o imprenditoriali, la perdita temporanea di un dispositivo può creare difficoltà immediate. Questo non autorizza a intervenire sui dati oggetto di acquisizione, ma rende importante comprendere se l’esigenza riguarda il bene materiale, specifici documenti, l’accesso a servizi indispensabili o copie di dati estranei all’indagine. Sono richieste diverse e non producono automaticamente lo stesso risultato.

Il punto decisivo è evitare etichette affrettate. “Hackeraggio”, “truffa online” o “furto di identità” descrivono spesso il timore iniziale, non ancora la fattispecie giuridica. Una difesa penale utile parte dalla condotta contestata, dai limiti di autorizzazione, dall’eventuale danno e dalla qualità della prova digitale. Se hai ricevuto un atto o hai subito un’acquisizione di dati, puoi contattarmi per inquadrare il provvedimento e le scelte compatibili con la fase del procedimento.

Domande frequenti

Posso essere accusato di accesso abusivo se conoscevo la password?

Sì, può accadere. Conoscere una password non prova che l’accesso fosse autorizzato nel momento e per lo scopo in cui è avvenuto. Bisogna verificare se il sistema era protetto, quali limiti avevi, se l’autorizzazione era stata revocata e se tali limiti risultavano conoscibili. La password può essere un elemento tecnico, non un permesso senza confini.

Una chat trovata sul mio telefono basta per dimostrare una frode informatica?

No, non basta da sola. Una chat va collocata nel suo contesto: autenticità, data, interlocutori, completezza e collegamento con l’operazione contestata. Per la frode informatica occorre inoltre verificare la condotta sul sistema o sui dati, il profitto ingiusto e il danno altrui. Un frammento di conversazione non sostituisce questa ricostruzione.

Se restituiscono il computer, i dati copiati vengono cancellati?

Non automaticamente. La restituzione del computer riguarda il bene materiale; una copia dei dati può essere stata acquisita e rimanere nel fascicolo. Occorre leggere il provvedimento, capire quali dati siano stati estratti e verificare la loro pertinenza. La restituzione può quindi risolvere un problema operativo senza chiudere la questione probatoria.

Posso cancellare file personali prima di consegnare un dispositivo?

No, è una scelta rischiosa. Cancellare o modificare dati che possono essere oggetto di indagine può incidere negativamente sulla tua posizione e rendere più difficile ricostruire anche elementi favorevoli. Se il dispositivo è coinvolto in una perquisizione, un sequestro o una richiesta dell’autorità, la condotta prudente è non alterarne il contenuto e comprendere subito il provvedimento ricevuto.

Posso presentare querela per un accesso al mio account?

Puoi valutare una denuncia o querela, ma la procedibilità dipende dal reato. Alcune ipotesi richiedono la querela della persona offesa, altre sono perseguibili d’ufficio in presenza di specifiche circostanze. Prima di agire è utile identificare l’accesso contestato, conservare le comunicazioni e gli avvisi di sicurezza disponibili e non confondere un sospetto tecnico con una prova già formata.