Diversi episodi recenti e l’uso quasi monopolistico di un social network per telefonia mobile hanno riportato alla cronaca, dopo la "truffa del falso avvocato" e l’onnipresente "truffa dello specchietto", gli imbrogli perpetrati semplicemente chiedendo alla potenziale vittima di condividere un codice O.T.P. pervenuto sul suo telefono cellulare.
La sigla O.T.P. in realtà è l’acronimo dell’espressione anglosassone "One Time Password" che si può tradurre come "parola d’ordine monouso" e che dovrebbe garantire la sicurezza delle identificazioni "a due fattori".
L’artificio consiste nel richiedere, tramite la pubblicazione o l’invio di un messaggio personale, di condividere un codice ricevuto sul proprio apparecchio allo scopo di confermare un voto on-line, di promuovere attività benefiche oppure sottoscrivere petizioni di varia natura.
Per aggirare l’ovvia diffidenza il messaggio può avere, come mittente, una utenza già memorizzata nella rubrica della vittima e quindi corrispondente ad un parente o conoscente della vittima stessa.
È evidente che il carattere privato della richiesta e, a volte, la citazione di precedenti messaggi o di notizie personali fanno sì che la richiesta venga facilmente accolta anche da coloro che sono più restii ad aderire alle cosiddette catene di S.Antonio o sondaggi e concorsi on line.
Se il messaggio è privato il codice "per votare" può arrivare anche in contemporanea al messaggio di richiesta; quando invece il messaggio è pubblicato su un gruppo o al di fuori dei social network, il codice arriva dopo la richiesta di inserire il proprio numero telefonico su un sito trappola.
A onor del vero, nel trasmettere all’utente ignaro il codice O.T.P. per l’identificazione "a due fattori", l’applicazione indica nello stesso messaggio, testualmente:
Dopo aver condiviso il codice, però, pressochè immediatamente l’applicazione usata viene resettata cancellando i messaggi, gli allegati e la rubrica del social, che ora sono a disposizione dell’autore dell’imbroglio.
Infatti il malfattore installa in precedenza l’applicativo su di un nuovo apparecchio telefonico o PC, simulando la sostituzione del telefono o della SIM e fornendo il numero di utenza della vittima.
L’algoritmo per la sostituzione dell’utenza richiede, per identificare "a due fattori" il presunto possessore dell’utenza l’inserimento di un codice O.T.P. inviato solamente sulla vecchia utenza che è quello che il malintenzionato chiede di condividere.
La condivisione del codice e il suo utilizzo da parte del malintenzionato hanno poi permesso di trasferire il profilo della vittima sul cellulare, o computer, dell’hacker.
Da questo momento, in rete, il nuovo utilizzatore apparirà alle persone memorizzate nella rubrica con nome, utenza e profilo della vittima e, sfruttando quanto memorizzato come backup sul cloud dell’applicazione, se sincronizzata, verrà a conoscenza di particolari e di notizie utili a fingersi il malcapitato e quindi ad applicare lo stesso "modus operandi" nei confronti di nuove potenziali prede.
Il comportamento finora descritto configura il reato di "sostituzione di persona" (art. 494 C.P.art. 494 C.P.), ma da questo momento si apre la possibilità, ad esempio, di estorcere (art. 629 C.P.art. 629 C.P.) denaro in cambio della promessa di non cancellare (art. 635 C.P.art. 635 C.P.) oppure di non diffondere i dati sincronizzati (art. 615 bis C.P.art. 615 bis C.P., come confermato dalla Corte di CassazioneCorte di Cassazione), oppure sarà possibile usare questi dati per imbastire una nuova frode informatica (art. 640 ter C.P.art. 640 ter C.P.) o decine di altri possibili reati che possono essere commessi avendo accesso alle immagini e comunicazioni, anche audio e video, di altre persone; ma a poco giova all’eventuale vittima conoscere la corretta qualificazione giuridica del reato quanto, invece, sapere come evitare di cadere in questa trappola.
Per difendersi, quindi, l’unica soluzione è quella di non accettare inviti ad aderire a sondaggi, voti, petizioni on line al di fuori di siti ben conosciuti e, comunque, raggiunti digitando l’indirizzo U.R.L. nell’apposita barra del browser e non "clickando" sul un messaggio anonimo o inquadrando un codice QR rinvenuto su di un volantino.
Art. 615 bis C.P. (Interferenze illecite nella vita privata)
Chiunque, mediante l’uso di strumenti di ripresa visiva o sonora, si procura indebitamente notizie o immagini attinenti alla vita privata svolgentesi nei luoghi indicati nell'articolo 614, è punito con la reclusione da sei mesi a quattro anni.
Alla stessa pena soggiace, salvo che il fatto costituisca più grave reato, chi rivela o diffonde, mediante qualsiasi mezzo di informazione al pubblico, le notizie o le immagini ottenute nei modi indicati nella prima parte di questo articolo.
I delitti sono punibili a querela della persona offesa; tuttavia si procede d’ufficio e la pena è della reclusione da uno a cinque anni se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o servizio, o da chi esercita anche abusivamente la professione di investigatore privato.
Art. 629 C.P. (Estorsione)
Chiunque, mediante violenza o minaccia, costringendo taluno a fare o ad omettere qualche cosa, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da cinque a dieci anni e con la multa da euro 1.000 a euro 4.000(4).
La pena è della reclusione da sette a venti anni e della multa da da euro 5.000 a euro 15.000 se concorre taluna delle circostanze indicate nel terzo comma dell’articolo 628.
Chiunque, mediante le condotte di cui agli articoli 615 ter, 617 quater, 617 sexies, 635 bis, 635 quater e 635 quinquies ovvero con la minaccia di compierle, costringe taluno a fare o ad omettere qualche cosa, procurando a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei a dodici anni e con la multa da euro 5.000 a euro 10.000. La pena è della reclusione da otto a ventidue anni e della multa da euro 6.000 a euro 18.000, se concorre taluna delle circostanze indicate nel terzo comma dell’articolo 628 nonché nel caso in cui il fatto sia commesso nei confronti di persona incapace per età o per infermità
Art. 635 bis C.P. (Danneggiamento di informazioni, dati e programmi informatici)
Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da due a sei anni.
La pena è della reclusione da tre a otto anni:
Art. 494 C.P. (Sostituzione di persona)
Chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore, sostituendo illegittimamente la propria all’altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato, ovvero una qualità a cui la legge attribuisce effetti giuridici, è punito, se il fatto non costituisce un altro delitto contro la fede pubblica, con la reclusione fino a un anno.
Art. 640 ter C.P. (Frode informatica)
Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da lire centomila a due milioni.
La pena è della reclusione da uno a cinque anni e della multa da lire seicentomila a tre milioni se ricorre una delle circostanze previste dal numero 1) del secondo comma dell’articolo 640, ovvero se il fatto produce un trasferimento di denaro, di valore monetario o di valuta virtuale o è commesso con abuso della qualità di operatore del sistema.
La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti.
Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o la circostanza prevista dall’articolo 61, primo comma, numero 5, limitatamente all’aver approfittato di circostanze di persona, anche in riferimento all’età
CORTE DI CASSAZIONE, SEZ. III PENALE (Sentenza n. 13102 - pubbl. il 29 marzo 2023)
La terza sezione penale della Corte di Cassazione ha trattato il tema del privato cittadino che per ragioni occasionali è venuto in possesso di dati personali, li ha diffusi e per questo ha subito una condanna in relazione al reato di cui all’art. 615 bis comma 1 e 2 c.p. Sulla questione è intervenuta la Suprema Corte con sentenza 13102 / 2023:
"Questa Suprema Corte ha evidenziato infatti, diversamente da quanto sostenuto in ricorso dalla difesa, che è del tutto infondata la tesi volta ad escludere dal novero dei destinatari della norma punitiva (rappresentata poi dall’art. 167 citato) il privato cittadino che occasionalmente sia venuto in possesso di un dato rilevante appartenente ad altro soggetto, dandogli diffusione indebita. Ad una semplice lettura della norma punitiva, l’incipit "chiunque" già esclude in radice una interpretazione in senso restrittivo riferita ai destinatari: ma, anche a voler ricollegare l’art. 167 all’art. 4, è evidente che, laddove si parla di persona fisica, ci si intende riferire al soggetto privato in sè considerato, e non solo a quello che svolga un compito, per così dire, istituzionale, di depositario della tenuta dei dati sensibili e delle loro modalità di utilizzazione all’esterno: una interpretazione siffatta finirebbe con l’esonerare in modo irragionevole dall’area penale tutti i soggetti privati, così permettendo quella massiccia diffusione di dati personali che il legislatore, invece, tende ad evitare.
Può quindi affermarsi senza tema di smentita che l’assoggettamento alla norma in tema di divieto di diffusione di dati sensibili riguardi tutti indistintamente i soggetti entrati in possesso di dati, i quali saranno tenuti a rispettare sacralmente la privacy di altri soggetti con i primi entrati in contatto, al fine di assicurare un corretto trattamento di quei dati senza arbitri o pericolose intrusioni.
Nè la punibilità in caso di indebita diffusione dei dati può dirsi esclusa se il soggetto detentore del dato abbia ciò acquisito in via casuale, in quanto la norma non punisce di certo il recepimento del dato, quanto la sua indebita diffusione.
Va sottolineato, infine, che il concetto di trattamento va inteso in senso ampio per come già lo afferma il legislatore laddove elenca tutta una serie di condotte sintomatiche, non circoscritto quindi ad una raccolta di dati, ma anche e soprattutto alla diffusione indebita senza il consenso dell’interessato, del dato acquisito, non importa se casualmente o meno.
E’ poi contemplato, sempre nel quadro strutturale della fattispecie, il dolo specifico di "trarre per sé o per altri profitto di recare ad altri un danno "attraverso la descritta condotta di trattamento dei dati. Ed è elemento costitutivo oggettivo la circostanza che dal fatto "derivi un nocumento".
Dunque del tutto destituita di fondamento è la tesi che vorrebbe escludere la ricorrente, siccome privato "non qualificato", dal novero dei destinatari della norma, alla luce di un ormai acclarato indirizzo giurisprudenziale sul punto."
