Frodi informatiche: il lato oscuro della digitalizzazione

FRODI INFORMATICHE:
IL LATO OSCURO DELLA DIGITALIZZAZIONE

Articolo a cura di Sofia Carlino

In un mondo dove la parola d’ordine è “innovazione”, ogni giorno siamo chiamati a rapportarci con il progresso tecnologico e le conseguenze che da esso derivano.

Se da un lato sono state indubbiamente garantite efficienza e immediatezza nei servizi, dall’altro si sono sviluppati anche aspetti “patologici”: a partire dagli anni ’70, infatti, hanno iniziato a diffondersi i computer crimes, forme delinquenziali legate alla sicurezza nei sistemi informatici e ai dati in essi contenuti.

La diffusione delle tecnologie informatiche ha inevitabilmente coinvolto anche il settore giuridico, obbligando legislatori e professionisti del settore a rapportarsi con essa e con l’insorgere di nuove minacce.

1. Il concetto di frode informatica

Ad oggi, il reato di frode informatica è disciplinato dall'art. 640-ter c.p. e si inserisce tra i delitti contro il patrimonio di cui al Libro II del Codice. Dopo essere stata introdotta nel nostro ordinamento con la Legge n. 547/1993, la fattispecie è stata ricompresa tra quelli che, per prassi, vengono definiti "reati informatici" o “cybercrimes”, ossia illeciti caratterizzati dall'utilizzo della tecnologia informatica come oggetto materiale del reato o mezzo per la sua commissione.

La dottrina è concorde nel ritenere che vi siano reati necessariamente informatici – anche detti reati informatici propri – e reati eventualmente informatici – noti anche come reati informatici impropri. I primi comprendono quei fatti penalmente rilevanti in cui la condotta criminosa ha necessariamente ad oggetto i sistemi informatici; i secondi, invece, individuano i reati in cui il mezzo informatico è solo un possibile strumento di perpetrazione del reato.

La frode informatica, come si evince dalla denominazione, rientra categoricamente nella prima tipologia, e si può realizzare tramite due condotte alternative:

l’alterazione – senza diritto – del funzionamento di un sistema informatico o telematico effettuata in qualsiasi modalità;
l’intervento su dati, informazioni o programmi contenuti in un sistema informatico o telematico effettuato in qualsiasi modalità.

La Corte di Cassazione tramite la sentenza n. 9891/2011 è intervenuta con riguardo al concetto di “alterazione di sistema”, definendolo come “ogni attività o omissione che, attraverso la manipolazione dei dati informatici, incida sul regolare svolgimento del processo di elaborazione e/o trasmissione dei suddetti dati”.

2. La legislazione italiana ed europea sul tema

In Italia, i primi progetti di legge aventi ad oggetto la regolamentazione dei comportamenti penalmente rilevanti legati all'informatica sono stati presentati agli inizi degli anni '80.

La maggior parte delle proposte legislative sottoposte al Parlamento sono però state successive alla Raccomandazione del Consiglio d'Europa n. 9/1989: dinanzi al sollecito comunitario, il legislatore italiano è intervenuto adottando la già citata L. n. 547/1993.

Come accennato, nel nostro ordinamento è stato operata un’integrazione normativa del Codice penale, riconducendo cioè i nuovi reati alle figure criminose già espressamente perseguite. Ad esempio, l’art. 640-ter c.p. che disciplina il reato di frode informatica è sostanzialmente un calco del già presente art. 640 c.p. relativo al reato di truffa.

Il reato di frode informatica, dunque, ha elementi costituitivi analoghi alla truffa, dalla quale si distingue solamente perché l’attività fraudolenta dell’agente investe non la persona, quanto il sistema informatico.

3. Social engineering e le tipologie di frode informatica

La frode informatica, va osservato, non si esaurisce in un’unica modalità, bensì si presta a numerosi processi utilizzabili dai cyber criminali per raggiungere lo scopo prefissato.

All’interno del macrosistema informatico che coinvolge direttamente anche l’utente, l’anello debole della catena è proprio il fattore umano (humanware) che viene spesso sfruttato al fine di perpetrare i cyber-attacks attraverso le tecniche di social engineering.

La pratica di social engineering più frequente è il phishing con le sue varianti di vishing e smishing (quando la truffa viene perpetrata mediante rispettivamente chiamate telefoniche o SMS).

Uno dei tratti più preoccupanti della pratica di phishing è la fase preliminare di attività investigativariguardante il soggetto target, comunemente definita footprinting, che può durare anche settimane. In questo caso le modalità di “intercettazione” possono essere di vario tipo, ne sono degli esempi lo sniffing (intercettazione per lo più “passiva” dei dati da parte di un man in the middle posto tra due utenti) e lo spoofing (impersonificazione tecnologica).

4. Cyberlaundering: quando il dark web incontra i capitali

Strettamente collegato al phishing e al concetto di frode informatica è il cyberlaundering (letteralmente, “riciclaggio digitale”), un fenomeno complesso e comprensivo di tutte le attività illecite finalizzate a “ripulire” non solo il denaro, ma più in generale capitali e altre utilità di provenienza delittuosa, ricorrendo a sistemi elettronici offerti dalla rete.

Ad oggi il cyberspace non è limitato al solo world wide web, ma comprende nuove modalità di scambio e comunicazione -quali il deep web e il dark web- che concorrono a formare almeno il 90% della rete: il cyberlaundering è talvolta il fine ultimo della pratica del phishing.

Come la frode informatica, anche il cyberlaundering pone le fondamenta su fattispecie di reato preesistenti e non correlate ai sistemi informatici.

Fino agli anni ’80 potevano individuarsi due “movimenti” principali: il money laundering, inteso come attività finalizzata ad occultare la provenienza illecita dei capitali, e il recycling, consistente nell’attività di rimessa in circolo degli stessi. Entrambe le fattispecie sono contemplate dall’art. 648 bis c.p., che ha tuttavia subito una progressiva evoluzione, specialmente per quanto riguarda la struttura del reato.

Secondo l’attuale dottrina, lo schema del riciclaggio “tradizionale” si suddivide principalmente in tre fasi: placement, layering ed integration.

Il placement rappresenta il momento in cui i criminali collocano i proventi all’interno di un sistema bancario mediante operazioni di deposito o acquisto di strumenti finanziari al fine di rendere irrintracciabile l’origine del denaro e svolgerne una successiva “pulitura”.

Il layering è quindi il fulcro del processo di riciclaggio in quanto permette di dissimulare l’origine delittuosa dei proventi. Ciò avviene effettuando numerosi trasferimenti di denaro di ammontare relativamente basso, utilizzando depositi anonimi o sfruttando l’apertura di un conto bancario a nome di società create ad hoc, le shell companies. L’alto numero di transazioni assicura l’anonimato e rende più difficile effettuare l’identificazione della reale provenienza del denaro.

L’integration, infine, pone l’accento sulle modalità attraverso cui è possibile “ripulire” il denaro e reimpiegarlo in attività lecite, come accade con iniziative imprenditoriali o acquisti immobiliari, che consentano così la commistione di questi capitali e del denaro ricavato invece in modo legittimo.

Ancora più articolato risulta il fenomeno reso possibile da sistemi di pagamento che facciano uso di valute virtuali come Bitcoin o Ether, che prescindono non solo dalla materiale circolazione del denaro quale valore di scambio, ma anche dal sistema bancario e finanziario.

L’art. 1, comma 2 del D. lgs. 231/2007 definisce la valuta virtuale come una «rappresentazione digitale di valore» attraverso cui è possibile svolgere operazioni che permettano il consolidamento dei proventi delittuosi senza alcun previo passaggio dalla dimensione reale dell’economia. Proprio per i suddetti motivi le criptovalute risultano indubbiamente funzionali per i criminali informatici: accessibilità, anonimato e velocità di transazione sono i fattori su cui viene costruito un impero di crescente delittuosità.

Conclusione

Per quanto sia pressoché impensabile, per una società altamente digitalizzata come la nostra, fare a meno di tutti i vantaggi ricavabili dall’utilizzo dei dispositivi che ci accompagnano nella vita di tutti i giorni, l’uso consapevole di questi strumenti è altrettanto fondamentale.

L’attenzione dell’utente è infatti il primo scudo rispetto ai cyber-crimes, al pari dell’accortezza degli Stati, chiamati a facilitare le comunicazioni e ad armonizzare i sistemi legali nella lotta contro i crimini informatici.