Source: http://docplayer.it/802204-Ingegneria-delle-telecomunicazioni-http-tlc-diee-unica-it-diritto-dell-informatica-e-delle-nuove-tecnologie-docente-massimo-farina.html
Timestamp: 2017-08-17 07:49:59+00:00

Document:
Ingegneria delle Telecomunicazioni Diritto dell Informatica e delle Nuove Tecnologie Docente: Massimo Farina - PDF
Ingegneria delle Telecomunicazioni Diritto dell Informatica e delle Nuove Tecnologie Docente: Massimo Farina
Download "Ingegneria delle Telecomunicazioni http://tlc.diee.unica.it/ Diritto dell Informatica e delle Nuove Tecnologie Docente: Massimo Farina"
1 1 Corso di Laurea Magistrale in Ingegneria delle Telecomunicazioni Diritto dell Informatica e delle Nuove Tecnologie Docente: Massimo Farina MODULO V
2 MODULO IV Computer Crimes 2
3 a) appropriazione e sottrazione di contenuti archiviati nella struttura informatica; b) divulgazione di dati inerenti a segreti di produzione delle tecnologie informatiche; TIPOLOGIE RICORRENTI DI COMPORTAMENTI RICONDUCIBILI AI COMPUTER S CRIMES c) lesione dei diritti di utilizzazione economica del software; d) alterazione e falsificazione dei dati documentali conservati nelle memorie elettroniche di archivi pubblici e privati; e) utilizzazione delle strutture informatiche per la commissione di truffe e di altri reati a contenuto patrimoniale; g) violazione della privacy dei terzi i cui dati sono archiviati in una banca dati; h) danneggiamenti attentati e sabotaggi delle tecnologie informatiche, hardware e software. 3
4 DATA DIDDLING (detta anche manipolazione dei dati): consistente nella trasformazione dei dati (eliminandone una parte o sostituendola con altri) che può essere compiuta sia al momento del loro inserimento nella memoria dell elaboratore che successivamente, solitamente da chi ben conosce il sistema. Es.: frodi alle banche; far scomparire dati personali riguardanti una determinata persona (magari dagli archivi delle forze dell ordine); sabotare processi produttivi e/o colpire il know how di aziende concorrenti; contraffare documenti pubblici o privati. SALAMI TECHNIQUES casi di sottrazione periodica di piccole somme di denaro da una grande quantità di accrediti, per poi trasferirle su un altro conto bancario. Es. frodi bancarie. 4
5 TECNICA DELLA BOTOLA TROYAN HORSE consiste nello sfruttare le vie d accesso al programma (lasciate appositamente ai progettisti per operare modifiche o integrazioni) da parte di terzi non autorizzati, per sfruttare a fini illeciti il programma principale. introduzione all interno di un programma di istruzioni aventi funzioni (aggiuntive a quelle del programma in cui sono state nascoste) diverse da quelle assolte dal programma che operano in contemporanea ed indipendentemente dal programma principale, così da impedire, almeno in primo momento, al titolare della licenza d uso del programma, di accorgersi della manomissione; il meccanismo potrebbe consistere nell inserimento all interno di un programma, di un altro che duplica i files del programma legittimo nascondendoli in qualche luogo recondito della memoria dell elaboratore, in attesa di essere prelevati dall hacker (= sabotatore). Es.: frodi, acquisizione di informazione sul contenuto dei sistemi altrui, come nello spionaggio industriale. 5
6 SUPERZAPPING deriva il suo nome da un programma di utilities (superzap) diffuso nei centri IBM, il quale aveva la funzione di consentire all operatore di intervenire aggirando qualsiasi ostacolo o blocco software, in presenza di malfunzionamenti del software ordinario. Tale programma, avente una funzione di soccorso all operatore di difficoltà nell uso del programma principale, è previsto in molti software complessi ma è ovviamente pericolosissimo se finisce in mani sbagliate, consentendo di accedere ad ogni dato e informazione memorizzata, come un passepartout. PIGGY BACKING consistente nell inserirsi abusivamente in una comunicazione telematica in corso per acquisire ad esempio la password inviata dall utente abilitato al sistema di connessione e poterla poi utilizzare abusivamente sostituendosi (impersonation) poi alla persona legittima titolare della password. 6
7 SCAVENGING (da to scavenge spazzare), consistente nel raccogliere informazione tra i materiali di scarto (informatici o anche cartacei) generati da un sistema informatico (Es.: stampe del codice). LOGIC BOMB (o back door) consistente in un programma occultato nel software di un sistema informatico altrui predisposto ad autoattivarsi al fine di consentire l accesso a persone non autorizzate o anche a distruggere il software inserito. Es: virus informatici; questa tecnica è stata utilizzata da software houses per cautelarsi contro l illecita duplicazione dei programmi e l uso degli stessi da parte di utenti non autorizzati (la cui liceità è però molto dubbia poiché l intento di autotutela può andare in realtà ben oltre i limiti, causando maggiori danni alla vittima). 7
8 PROBLEMA: IL SISTEMA NORMATIVO ITALIANO ERA INADEGUATO MOTIVAZIONI Tutela penale del software: - impossibilità di affermarne la fisicità e, quindi, la includibilità tra i beni materiali di cui all art. 635 c.p. danneggiamento ovvero fra le cose mobili come previsto per il reato di furto. - impraticabilità dell applicazione analogica della normativa previgente in ambito penale, così come statuisce la costituzione e secondo il principio nullum crimen, nulla poena sine lege (art. 25 Cost.) Tutela civile del del software: applicazione in via analogica delle norme della L n. 633 sul diritto d autore, incontrando la difficoltà della includibilità del software tra le opere dell ingegno 8
9 DEFINIZIONI DIRITTO PENALE DELL'INFORMATICA complesso delle norme penali riferite all'utilizzo illecito delle tecnologie informatiche o dell'informazione Fatti previsti da una norma penale Fatti commessi attraverso le tecnologie dell'informazione o rivolti contro un bene informatico REATI INFORMATICI DEFINIZIONE ALTERNATIVA Comportamenti previsti e puniti dal codice penale o da leggi speciali in cui qualsiasi sistema informatico o telematico rappresenti un elemento determinante ai fini della qualificazione del fatto di reato. 9
10 REATI INFORMATICI (in senso lato) Tutti i reati a forma libera teoricamente consumabili con lo strumento informatico possono essere considerati reati informatici in senso lato. ESEMPIO: La diffamazione (art. 595 c.p.) via internet o l ingiuria (art. 594 c.p.) via e mail; Il favoreggiamento personale (art. 378 c.p.) cancellazione, dalla memoria del computer, delle tracce di un precedente reato commesso da altri L associazione a delinquere (art. 416 c.p.) finalizzata alla commissione di reati informatici; L estorsione (art. 629 c.p.) tramite minaccia telematica; La sostituzione di persona (art. 494 c.p.) in una comunicazione telematica. 10
11 REATI INFORMATICI (in senso stretto) LEGGE 23 dicembre 1993, n. 547 Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica. Introduzione nel codice penale di una serie di ipotesi di reato di natura informatica e telematica LEGGE 18 MARZO 2008, N. 48 ratifica ed esecuzione della Convenzione di Budapest sulla criminalità informatica Modifiche al codice di procedura penale ed al D.Lgs. 196/03 : prova elettronica, modifica dell art. 132, D.Lgs. 196/03, modifica dell art. 51 c.p.p. 11
12 CONDOTTA UMANA POSITIVA (azione) NEGATIVA (omissione) ELEMENTO OGGETTIVO EVENTO ELEMENTI ESSENZIALI RAPPORTO DI CAUSALITÀ DOLO ELEMENTO SOGGETTIVO COLPA REATO RESPONSABILITÀ ELEMENTI ACCIDENTALI CIRCOSTANZE (attenuanti/aggravanti) 12
13 ARRESTO E FERMO sono provvedimenti limitativi della libertà personale temporanei e precautelari in quanto rappresentano un anticipazione di quella tutela predisposta mediante le misure cautelari dalle quali si differenziano per il connotato dell urgenza e l assenza di un provvedimento dell Autorità Giudiziaria che interviene solo successivamente nelle forme della convalida. Tanto l arresto quanto il fermo sono vietati quando il soggetto abbia agito in presenza di una causa di giustificazione o di non punibilità (art. 385 c.p.p.) 13
14 ARRESTO TEMPORANEA PRIVAZIONE DELLA LIBERTÀ PERSONALE CHE LA P.G. DISPONE A CARICO DI "chi viene colto nell atto di commettere il reato" (c.d. flagranza propria) O DI chi, subito dopo il reato, è inseguito dalla polizia giudiziaria, dalla persona offesa o da altre persone ovvero è sorpreso con cose o tracce dalle quali appaia che egli abbia commesso il reato immediatamente prima" (c.d. flagranza impropria) (art. 382 c.p.p.). Il tutto con la finalità di impedire che il reato venga portato a conseguenze ulteriori ed assicurare l autore alla giustizia. 14
15 Chi procede all arresto???? ARRESTO OBBLIGATORIO (art. 380 c.p.p.): deve procedere all arresto di chiunque sia colto in flagranza di delitti non colposi, consumati o tentati, per i quali la legge stabilisce la pena dell ergastolo o della reclusione non inferiore nel minimo a cinque anni e nel massimo a venti anni oppure di reati espressamente elencati, individuati per le loro caratteristiche di salvaguardia dell ordine costituzionale, della sicurezza collettiva e dell ordinato vivere civile POLIZIA GIUDIZIARIA ARRESTO FACOLTATIVO (art. 381 c.p.p.): può procedere all arresto di chiunque sia colto in flagranza di delitti non colposi, consumati o tentati, per i quali la legge stabilisce la pena della reclusione superiore nelmassimoatreanni ovvero di undelittocolposo per il quale la legge stabilisce la pena della reclusione non inferiore nel massimo a cinque anni oppure di reati espressamente menzionati. Il ricorso all arresto facoltativo deve essere giustificato dalla gravità del fatto ovvero dalla pericolosità del soggetto desunta dalla sua personalità o dalle circostanze del fatto. PRIVATI arresto facoltativo (art. 383 c.p.p.): può procedere all arresto quando l arresto è obbligatorio per la P.G. e si versi in flagranza di un reato perseguibile d ufficio. Chi vi procede "deve senza ritardo consegnare l arrestato e le cose costituenti il corpo del reato alla polizia giudiziaria la quale redige il verbale della consegna e ne rilascia copia". 15
16 FERMO TEMPORANEA PRIVAZIONE DELLA LIBERTÀ PERSONALE CHE IL P.M DISPONE A CARICO DELLA PERSONA GRAVEMENTE INDIZIATA "anche fuori dei casi di flagranza, quando sussistono specifici elementi che, anche in relazione alla impossibilità di identificare l indiziato, fanno ritenere fondato il pericolo di fuga "di un delitto per il quale la legge stabilisce la pena dell ergastolo o della reclusione non inferiore nel minimo a due anni e superiore nel massimo a sei anni ovvero di un delitto concernente le armi da guerra e gli esplosivi o di un delitto commesso per finalità di terrorismo, anche internazionale, o di eversione dell ordine democratico O DI di un delitto commesso per finalità di terrorismo, anche internazionale, o di eversione dell ordine democratico Il tutto con la finalità di impedire che l indagato possa darsi alla fuga soprattutto quando, mancando il presupposto della flagranza, non può procedersi all arresto NOTA: Al fermo può procedere anche la P.G. quando ancora non vi sia stata l assunzione della direzione delle indagini da parte del P.M. o "qualora sia successivamente individuato l indiziato ovvero sopravvengano specifici elementi, quali il possesso di documenti falsi, che rendano fondato il pericolo che l indiziato sia per darsi alla fuga e non sia possibile, per la situazione di urgenza, attendere il provvedimento del pubblico ministero". 16
17 Reati informatici nel Codice penale Esercizio arbitrario delle proprie ragioni con violenza su un bene informatico (III comma, art. 392 c.p. ) Falsità in documenti informatici (art.491 bis c.p. ) Accesso abusivo ad un sistema informatico e telematico (art. 615-ter c.p.) Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici (art. 615-quater c.p.) Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617-quater c.p.) Installazione di apparecchiature atte ad intercettare, impedire od interrompere comunicazioni informatiche o telematiche (art. 617-quinquies c.p.) 17
18 Reati informatici nel Codice penale Pornografia minorile (art. 600-ter c.p) Detenzione di materiale pornografico (art. 600-quater c.p) Frode informatica (art. 640-ter c.p.) Danneggiamento di sistemi informatici e telematici (art. 635-bis c.p.) Falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche (art. 617-sexies c.p.) 18
19 Gli illeciti penali nelle leggi speciali Art. 167-CdP. Trattamento illecito di dati Art. 168-CdP. Falsità nelle dichiarazioni e notificazioni al Garante Art. 169-CdP. Misure di sicurezza Art. 170-CdP. Inosservanza di provvedimenti del Garante Art. 171/171-bis/171-ter LdA Duplicazione abusiva e commercializzazione di software contraffatto 19
20 L'esercizio arbitrario delle proprie ragioni con violenza sulle cose [su un bene informatico] (art. 392 c.p.) Dei delitti contro l'amministrazione della giustizia [I] Chiunque al fine di esercitare un preteso diritto, potendo ricorrere al giudice, si fà arbitrariamente ragione da sè medesimo, mediante violenza sulle cose, è punito, a querela della persona offesa, con la multa fino a euro 516. [II] Agli effetti della legge penale, si ha violenza sulle cose allorchè la cosa viene danneggiata, trasformata, o ne è mutata la destinazione. [III] Si ha, altresì, violenza sulle cose allorchè un programma informatico viene alterato, modificato, cancellato in tutto o in parte ovvero viene impedito o turbato il funzionamento di un sistema informatico o telematico. ESEMPIO Programmatore che include una logic bomb ( bomba a tempo o backdoor ) nel software per il mancato pagamento di costi o canoni. 20
21 Accesso abusivo ad un sistema informatico e telematico (art. 615-ter c.p.) Dei delitti contro la persona BASE[I] Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacitadichihaildirittodiescluderlo,èpunitoconlareclusionefinoatreanni. AGGRAVATE[II]Lapenaèdellareclusionedaunoacinqueanni: 1) se il fattoècommesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri, o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema; 2) se il colpevole per commettere il fatto usa violenza sulle cose o alle persone, ovvero se è palesemente armato; 3) se dal fatto deriva la distruzione o il danneggiamento del sistema o l interruzione totale o parziale del suo funzionamento, ovvero la distruzione o il danneggiamento dei dati, delle informazioni o dei programmi in esso contenuti. Qualora i fatti di cui ai commi primo e secondo riguardino sistemi informatici o telematici di interesse militare o relativi all ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, la pena è, rispettivamente, della reclusione da uno a cinque anni e da tre a otto anni. 21
22 Aspetti processuali e casistica (art. 615-ter c.p.) PENA:Icomma:reclusionefinoa3anni;IIcomma:reclusioneda1a5anni; IIIcomma:reclusioneda3a8anni. PROCEDIBILITÀ: querela di parte nell'ipotesi semplice, d'ufficio nelle ipotesi aggravate Penetrazione abusiva dall esterno in un sistema aziendale mediante la decodifica della password di accesso al sistema ESEMPI Accesso del dipendente all interno di un sistema senza esserne autorizzato Accesso del dipendente al sistema aziendale non rispettandone le condizioni e rimanendo inserito o collegato oltre i limiti previsti 22
23 Aspetti peculiari della fattispecie (art. 615-ter c.p.) accesso ad un sistema informatico e telematico attività di introduzione in un sistema, a prescindere dal superamento di chiavi fisiche o logiche poste a protezione di quest ultimo accesso ad un sistema informatico e telematico Complesso di apparecchiature destinate a compiere una qualsiasi funzione utile all uomo, attraverso l utilizzazione (anche parziale) di tecnologie informatiche, che sono caratterizzate - per mezzo di un attività di codificazione e decodificazione dalla registrazione o memorizzazione, per mezzo di impulsi elettronici, su supporti adeguati, di dati, cioè di rappresentazioni elementari di un fatto, effettuata attraverso simboli (bit), in combinazioni diverse, e dalla elaborazione automatica di tali dati, in modo da ingenerare informazioni costituite da un insieme più o meno vasto di dati organizzati secondo una logica che consenta loro di esprimere un particolare significato per l utente Cass. N. 2672/
24 Misure di Sicurezza????? (art. 615-ter c.p.) TRIBUNALE DI TORINO, SENT. 7/02/98: soltanto le misure di sicurezza logiche, anche se facilmente aggirabili TRIBUNALE DI ROMA, SENT. 4/04/00: sono le misure logiche realmente efficaci CASS. PEN. V SEZ. PENALE, SENT. N /00: anche le cosiddette protezioni esterne Inoltre chiarisce punisce non solo chi si introduce abusivamente in un sistema informatico o telematico ma anche chi vi si mantiene contro la volontà esplicita o tacita di chi ha il diritto di escluderlo. Non si tratta perciò di un illecito caratterizzato dall effrazione dei sistemi protettivi, perché altrimenti non avrebbe rilevanza la condotta di chi, dopo essere legittimamente entrato nel sistema informatico, vi si mantenga contro la volontà del titolare. Si tratta di un illecito caratterizzato dalla contravvenzione alle disposizioni del titolare, come avviene nella violazione di domicilio. 24
25 Accesso abusivo ad un sistema informatico e telematico (art. 615-ter c.p.) BENE TUTELATO E lo spazio ideale di pertinenza della persona INTRODUZIONE DEL CONCETTO DI DOMICILIO INFORMATICO Cass. N. 3067/99: a nulla rileva il contenuto dei dati racchiusi nel sistema purchè attinente alla sfera di pensiero o all attività, lavorativa o non, dell utente ALTRI ORIENTAMENTI: Integrità del sistema Riservatezza dei dati 25
26 Aspetti processuali e casistica (art. 615-ter c.p.) PENA:Icomma:reclusionefinoa3anni;IIcomma:reclusioneda1a5anni; IIIcomma:reclusioneda3a8anni. PROCEDIBILITÀ: querela di parte nell'ipotesi semplice, d'ufficio nelle ipotesi aggravate Penetrazione abusiva dall esterno in un sistema aziendale mediante la decodifica della password di accesso al sistema ESEMPI Accesso del dipendente all interno di un sistema senza esserne autorizzato Accesso del dipendente al sistema aziendale non rispettandone le condizioni e rimanendo inserito o collegato oltre i limiti previsti 26
27 Accesso abusivo ad un sistema informatico e telematico (art. 615-ter c.p.) esigenza di anticipare la soglia di tutela di interessi considerati, dal legislatore, particolarmente rilevanti. E UN REATO DI PERICOLO La messa in pericolo del bene è punita come reato autonomo e non a titolo di tentativo la condotta posta in essere dall'agente pone soltanto in pericolo il bene-interesse tutelato dalla norma, senza produrgli alcun danno 27
28 Rapporti con altre figure Accesso Abusivo La manipolazione del sistema è elemento costitutivo non necessario C O N C O R S O Frode informatica (art. 640-ter c.p.) La manipolazione del sistema è elemento costitutivo necessario Tutela della persona Tutela del patrimonio Accesso Abusivo L accesso abusivo può avvenire anche senza l utilizzo di carte di credito C O N C O R S O Indebito utilizzo di carte di credito o di pagamento (art. 12 D.L. 143/91) L accesso abusivo può avvenire soltanto con l utilizzo di carte di credito 28
29 Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici (art. 615-quater c.p.) BASE[I] Chiunque,alfinediprocurareaséoadaltriunprofittoodi arrecare ad altri un danno, abusivamente si procura, riproduce, diffonde, comunica o consegna codici, parole chiave o altri mezzi idonei all'accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo, è punito con la reclusione sino ad un anno e con la multa sino a euro. AGGRAVATE [II]. La pena è della reclusione da uno a due anni e della multa da euro a euro se ricorre taluna delle circostanze di cui ai numeri 1) e 2) del quarto comma dell'articolo 617-quater. [ 1) in danno di un sistema informatico o telematico utilizzato dallo Stato o da altro ente pubblico o da impresa esercente servizi pubblici o di pubblica necessità; 2) da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, ovvero con abuso della qualità di operatore del sistema ] Dei delitti contro la persona 29
30 Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici (art. 615-quater c.p.) I mezzi di accesso di più larga diffusione sono i codici e le parole chiave. la parola chiave è una sequenza numerica o alfanumerica, come le password ed i Personal Identification Number Il reato consiste nel procurarsi codici o altri strumenti di accesso con qualsiasi modalità. Anche quando l informazione viene fraudolentamente carpita con inganni verbali e quando si prende conoscenza diretta di documenti cartacei ove tali dati sono stati riportati o osservando e memorizzando la digitazione di tali codici Anche l acquisizione di un codice d accesso effettuata da un operatore di rete abilitato ad agire sulla medesima; Anche la comunicazione delle chiavi di accesso ad un sistema da parte dell utente di un servizio ad un terzo non legittimato 30
31 Fattispecie e aspetti processuali (art. 615-quater c.p.) BENE TUTELATO DOMICILIO INFORMATICO (tutela della riservatezza della sfera individuale) La semplice integrazione delle condotte descritte è sufficiente per la consumazione del reato Dolo specifico: la condotta dev essere posta in essere al fine di procurare a se o ad altri un profitto o di arrecare ad altri un danno PROCEDIBILITÀ: querela di parte nell'ipotesi semplice, d'ufficio nelle ipotesi aggravate Cass. N. 5688/05: integra la condotta chi si procura abusivamente il numero seriale di un apparecchio cellulare di altri e attraverso la clonazione si conette abusivamente alla rete telefonica mobile 31
32 Giurisprudenza di merito e di legittimità (art. 615-quater c.p.) Sentenza Tribunale di Torino 30 settembre 2002 Individua la fattispecie di cui all articolo 615 quater la condotta di colui che si procura abusivamente, al fine di ottenere per sè un profitto o arrecare ad altri un danno, dei mezzi idonei all accesso ad un sistema telematico protetto da misure di sicurezza,. E inapplicabile alla fattispecie la norma di cui all articolo 615 ter, in quanto manca l idoneità dei codici digitati dall imputato all accesso ad un sistema informatico. Cassazione penale n. 4389/98 L articolo 615 quater si applica anche all ipotesi di detenzione o di diffusione abusiva delle cosiddette pic-cards, schede informatiche che consentono di vedere programmi televisivi criptati attraverso la decodifica di segnali trasmessi secondo modalità tecniche di carattere telematico. 32
33 Diffusione di programmi diretti a danneggiare o interrompere un sistema informatico (art. 615-quinquies c.p.) [mod.l.18marzo2008,n.48.] Chiunque, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti o ad esso pertinenti ovvero di favorire l interruzione, totale o parziale, o l alterazione del suo funzionamento, si procura, produce, riproduce, importa, diffonde, comunica, consegna o, comunque, mette a disposizione di altri apparecchiature, dispositivi o programmi informatici, è punito con la reclusione fino a due anni e con la multa sino a euro La semplice integrazione delle condotte descritte è sufficiente per la consumazione del reato Dolo specifico: la condotta dev essere posta in essere allo scopo di danneggiare illecitamente un sistema informatico o telematico o di favorire l interruzione [ ]del suo funzionamento NOTA: fattispecie riferita alla diffusione di particolari programmi informatici chiamati comunemente "virus", appositamente progettati o costruiti al fine di danneggiarne altri o addirittura l'intero sistema in cui questi sono contenuti 33
34 Aspetti processuali e casistica (art. 615-quinques c.p.) PROCEDIBILITÀ: d'ufficio ESEMPI introduzione dall esterno di un programma virus all interno di un sistema dell azienda dipendente infedele che utilizza il sistema dell azienda per diffondere un programma virus verso sistemi esterni 34
35 Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617-quater c.p.) BASE - chiunque fraudolentemente intercetta comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra più sistemi, ovvero le impedisce o le interrompe è punito con la reclusione da sei mesi a quattro anni salvo che il fatto costituisca più grave reato, la stessa pena si applica a chiunque rivela, mediante qualsiasi mezzo di informazione al pubblico, in tutto o in parte, il contenuto delle comunicazioni di cui al primo comma AGGRAVATE - Si procede d'ufficio e la pena è delle reclusione da uno a cinque anni se il fatto è commesso : a) in danno di un sistema informatico utilizzato dallo Stato o da altro ente pubblico o da impresa esercente servizi pubblici o di pubblica necessità; b)da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, ovvero con abuso della qualità di operatore del sistema; c)da chi esercita anche abusivamente la professione di investigatore privato 35
36 Aspetti peculiari della fattispecie (art. 617-quater c.p.) COMUNICAZIONI INFORMATICHE O TELEMATICHE: trasmissioni di dati, immagini, simboli, programmi e ogni altra informazione attraverso sistemi informatici o telematici. IMPEDIRE LA COMUNICAZIONE INFORMATICA O TELEMATICA: frapporre ostacoli, sia hardware che software, alla normale libera operazione di trasferimento di una qualsiasi informazione con sistemi informatici o telematici RIVELARE: portare a conoscenza, o rendere noto, senza averne facoltà o diritto, e quindi abusivamente, a terzi il contenuto (dati, informazioni, programmi) di documenti informatici (su supporti magnetici o simili) destinati a rimanere segreti FRAUDOLENTEMENTE: macchinazione, raggiro, comportamento ingannevole volto a conseguire vantaggi per sé o altri in violazione alla legge (p.es: non risponde del reato chi, per caso, prenda cognizione o interrompa comunicazioni, come interferenza telematica dovuta al guasto di linee 36
37 Aspetti processuali e casistica (art. 617-quater c.p.) PROCEDIBILITÀ: reato semplice a querela, reato aggravato d'ufficio 37
38 Installazione di apparecchiature atte ad intercettare, impedire od interrompere comunicazioni informatiche o telematiche (art. 617-quinquies c.p.) BASE - chiunque, fuori dai casi consentiti dalla legge, installa apparecchiature atte ad intercettare, impedire o interrompere comunicazioni relative ad un sistema informatico o telematico ovvero intercorrenti tra più sistemi è punito con la reclusione da uno a quattro anni AGGRAVATE - la pena è della reclusione da uno a cinque anni se il fatto è commesso: a) in danno di un sistema informatico utilizzato dallo Stato o da altro ente pubblico o da impresa esercente servizi pubblici o di pubblica necessità; b) da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, ovvero con abuso della qualità di operatore del sistema; c) da chi esercita anche abusivamente la professione di investigatore privato 38
39 Aspetti processuali e peculiarità della fattispecie (art. 617-quinquies c.p.) PROCEDIBILITÀ: d'ufficio PECULIARITÀ: Le apparecchiature atte ad intercettare sono quelle, sotto il profilo tecnico, effettivamente idonee ad intercettare, impedire od interrompere le comunicazioni informatiche o telematiche 39
40 Falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche (art. 617-sexies c.p.) BASE - chiunque, al fine di procurare a se o ad altri un vantaggio o di arrecare ad altri un danno, forma falsamente ovvero altera o sopprime, in tutto o in parte, il contenuto, anche occasionalmente intercettato, di taluna delle comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra più sistemi, è punito, qualora ne faccia uso o lasci che altri ne facciano uso, con la reclusione da uno a quattro anni AGGRAVATE-la pena è della reclusione da uno a cinque anni se il fatto è commesso: a) in danno di un sistema informatico utilizzato dallo Stato o da altro ente pubblico o da impresa esercente servizi pubblici o di pubblica necessità; b)da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, ovvero con abuso della qualità di operatore del sistema; c)da chi esercita anche abusivamente la professione di investigatore privato 40
41 Aspetti processuali e peculiarità della fattispecie (art. 617-sexies c.p.) PROCEDIBILITÀ: d'ufficio PECULIARITÀ: FALSIFICAZIONE DI UNA COMUNICAZIONE INFORMATICA O TELEMATICA COMUNQUE INTERCETTATA: riprodurne in maniera parziale o totale il contenuto in modo ingannevole SOPPRIMERE LA COMUNICAZIONE INFORMATICA O TELEMATICA: eliminarla, cancellarla dalla memoria, totalmente o parzialmente ALTERARE UNA COMUNICAZIONE INFORMATICA O TELEMATICA: renderla totalmente o parzialmente diversa, come se fosse un'altra 41
42 Danneggiamento di informazioni, dati e programmi informatici. (art. 635-bis c.p.) [mod. L. 18 marzo 2008, n. 48.] BASE - Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa,conlareclusionedaseimesiatreanni. AGGRAVATE - Se ricorre la circostanza di cui al numero 1) del secondo comma dell articolo 635 ovvero se il fatto è commesso con abuso della qualità di operatore del sistema, la pena è della reclusione da uno a quattro anni e si procede d ufficio. Dolo generico: è sufficiente la coscienza e volontà di distruggere, deteriorare.. Art. 635, comma II, n. 1: con violenza alla persona o con minaccia Si procede d ufficio Trattamento sanzionatorio più grave 42
43 Aspetti processuali (art. 635-bis c.p.) PROCEDIBILITÀ: querela di parte nell'ipotesi semplice, d'ufficio nelle ipotesi aggravate NOTA Sono stati recentemente introdotti: 635 ter: che punisce il danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità. 635 quater e 635 quinquies: che puniscono rispettivamente il danneggiamento di sistemi informatici o telematici ed il danneggiamento di sistemi informatici o telematici di pubblica utilità. 43
44 Frode informatica. (art. 640-ter c.p.) BASE - Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione daseimesiatreannieconlamultada51euroa1.032euro. AGGRAVATE - La pena è della reclusione da uno a cinque anni e della multa da 309 euro a euro se ricorre una delle circostanze previste dal numero 1) del secondo comma dell'articolo 640, ovvero se il fatto è commesso con abuso della qualità di operatore del sistema. [ 1)seilfattoècommessoadannodelloStatoodiunaltroentepubblico(1)ocol pretesto di far esonerare taluno dal servizio militare ] 44
45 Aspetti processuali e peculiarità della fattispecie (art. 640-ter c.p.) PROCEDIBILITÀ: d'ufficio in caso di frode aggravata, a querela in caso di frode semplice PECULIARITÀ: ALTERARE UN SISTEMA INFORMATICO: agire con qualsiasi mezzo fraudolento sia a livello hardware che software al fine di rendere il funzionamento incapace di operare secondo le capacità proprie (es: asportare un file indispensabile al funzionamento del sistema operativo; modifica della password all'insaputa dell'utente autorizzato); INTERVENIRE SENZA DIRITTO SUL SOFTWARE, SUI DATI O INFORMAZIONI: manipolare con qualsiasi mezzo (hardware o software) il contenuto senza essere autorizzati 45
46 Frode informatica. (art. 640-ter c.p.) BENE TUTELATO IL PATRIMONIO Cass. n. 3065/99: stessi elementi costitutivi della truffa ma l attività fraudolenta [ ] non investe la persona [ ], bensì il sistema informatico SIMILITUDINE CON LA TRUFFA Art. 640 c.p.: Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito.. Artifizi e raggiri contro il sistema informatico: 1) Alterazione del funzionamento 2) Intervento senza diritto sui dati contenuti nel sistema informatico Dolo specifico: la condotta dev essere posta in essere al fine di procurare a se o ad altri un ingiusto profitto con danno altrui 46
47 PHISHING Definizione di PHISHING Invio massiccio di messaggi di posta elettronica (spamming) per carpire informazioni personali o dati riservati con la finalità di accedere ai conti correnti (postali o bancari) sui quali si interviene abusivamente disponendo, all insaputa del titolare. Nell ordinamento giuridico italiano non esiste alcuna legge che preveda una definizione del phishing né che prescriva sanzioni a carico dei phisher. ILLECITO TRATTAMENTO DI DATI ACCESSO ABUSIVO A SIST. INF. TRUFFA PHISHING RICICLAGGIO FRODE INFORMATICA 47
48 LE FASI PRINCIPALI DEL PHISHING 1. Il phisher spedisce al malcapitato utente un messaggio simile, nella grafica e nel contenuto, a quello di una istituto di credito. 2. l' contiene spesso avvisi di problemi verificatesi con il proprio conto corrente/account (ad esempio un addebito enorme, la scadenza dell'account, ecc.) oppure un'offerta di denaro. 3. l' invita il destinatario a seguire un link, presente nel messaggio, per evitare l'addebito e/o per regolarizzare la sua posizione. 4. il link fornito non conduce al sito web ufficiale della banca ma ad un clone del sito ufficiale, situato su un server controllato dal phisher, allo scopo di richiedere e ottenere dal destinatario dati personali particolari. 5. Le informazioni vengono memorizzate dal server gestito dal phisher e quindi finiscono nelle sue mani. 6. il phisher utilizza questi dati per acquistare beni, trasferire somme di denaro. 48
49 ESEMPIO SI PHISHING 49
50 ESEMPIO SI PHISHING 50
51 PHISHING: ILLECITO TRATTAMENTO DI DATI (fattispecie penale) ART. 167, CO., 2 Codice Privacy punisce con la reclusione da uno a 3 anni chiunque proceda al trattamento di dati personali in violazione di quanto disposto dagli articoli [ ] 11 [ ] - al fine di trarne per sè o per altri profitto o di recare ad altri un danno - se dal fatto deriva nocumento ART. 11, LETT. A, Codice Privacy. 1. I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; 51
52 PHISHING: ILLECITO TRATTAMENTO DI DATI (fattispecie penale) Il PHISHING realizza perfettamente la condotta descritta nell art. 167 IL PHISHER RACCOGLIE I DATI DELL UTENTE E LI UTILIZZA IN VIOLAZIONE ALL ART. 11 (TRATTAMENTO LECITO E SECONDO CORRETTEZZA) IL FINE DI TRARRE PROFITTO È SEMPRE PRESENTE NEL PHISHING (TECNICA FINALIZZATA AD ESTORCERE DENARO) IL NOCUMENTO È PRESENTE DAL MOMENTO IN CUI SI SOTTRAE IL DANARO DELITTO, PROCEDIBILE D UFFICIO TERMINE MASSIMO DI PRESCRIZIONE (SETTE ANNI E MEZZO) LA FATTISPECIE EX ART. 167 HA NATURA RESIDUALE: SALVO CHE IL FATTO COSTITUISCA PIÙ GRAVE REATO 52
53 PHISHING: ILLECITO TRATTAMENTO DI DATI (fattispecie penale) (art. 280 c.p.p.) esclusa la possibilità, prima dell eventuale udienza di convalida, di misure cautelari indicate nel Libro IV del codice di procedura penale (ad es. custodia cautelare in carcere, arresti domiciliari, divieto temporaneo di esercitare determinate attività professionali o imprenditoriali) ASPETTI PROCESSUALI (266 c.p.p.) esclusa la possibilità di procedere ad intercettazioni telefoniche od ambientali (consentite per delitti non colposi puniti con una pena che superi 5 anni) (132 codice privacy - mod. L. 155/2005) possibilità di richiedere l acquisizione dei dati di traffico telematico relativi ai soggetti che hanno messo in opera le attività di phishing. 53
54 PHISHING: ILLECITO CIVILE ART. 122, CO., 2 Codice Privacy è vietato l'uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell'apparecchio terminale di un abbonato o di un utente, per archiviare informazioni o per monitorare le operazioni dell'utente. VIOLAZIONE EX ART ART. 15, Codice Privacy. «abbonato» il codice intende «qualunque persona fisica o giuridica, ente od associazione parte di un contratto con un fornitore di servizi di comunicazione elettronica accessibili al pubblico» chiunque cagioni un danno per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art del codice civile. 54
55 PHISHING: ILLECITO CIVILE ART. 15 Codice Privacy: chiunque cagioni un danno per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art del codice civile. RESPONSABILITÀ PER GLI ISTITUTI DI CREDITO??? ART. 31 Codice Privacy: I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.. QUID IURIS per gli istituti di credito che permettono (non impediscono) a terzi estranei di accedere alle informazioni relative a propri clienti? 55
56 PHISHING: ILLECITO CIVILE L art. 31 Codice Privacy obbliga le banche (titolari) a custodire e controllare i dati dei clienti (interessati) in modo da ridurre al minimo il rischio di accessi non autorizzati. L obbligo di custodia è commisurato al progresso tecnico (pericolo di rischi sempre nuovi) La mancata vigilanza diretta ad impedire il PHISHING è attività di trattamento dalla quale deriva un danno al cliente La banca dovrà dimostrare di aver posto in essere tutte le misure idonee ad evitare il verificarsi del danno (art c.c.) 56
57 Tribunale di Palermo - Sezione III Civile, Sentenza 11 giugno 2011, n.6139 Il caso: due clienti di un istituto di credito, in possesso di un conto corrente con operabilità on line, e dal quale era stato effettuato un bonifico non autorizzato. [ ] Va, parimenti, ritenuta applicabile al caso di specie la previsione di cui all'art. 15 del d. Lgs. n. 196/2003, la quale statuisce che chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. Invero, la società convenuta non impedendo a terzi di introdursi illecitamente nel sistema ha cagionato un danno ai propri risparmiatori, quale titolare del trattamento dei dati personali. Ed ancora l'art. 31 del d. Lgs. n. 196/2003 impone che i dati personali oggetto di trattamento siano custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta [ ]. [ ] l'istituto avrebbe dovuto adottare tutte le misure di sicurezza, tecnicamente idonee e conosciute in base al progresso tecnico, a prevenire danni, come quelli verificatisi in capo agli attori, non essendo sufficiente la non violazione di nonne di legge, posto che la diligenza richiesta deve essere valutata con maggior rigore, atteso che la prestazione inerisce all'esercizio di un'attività professionale. Nel caso in esame, nessuna prova è stata fornita ed il sistema adottato dalla convenuta appare inadeguato se raffrontato con quello adoperato da altri operatori, cui successivamente la stessa società convenuta si è conformata. 57
58 PHISHING: TRUFFA Art. 640 Truffa Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da lire centomila a due milioni. [ ] Il delitto è punibile a querela della persona offesa [ ]. Il Phishing consiste in un raggiro artificioso del destinatario dell , che apparentemente è inviata dal proprioistitutodicreditoeloinduceal collegamento telematico Art. 640 Truffa (fattispecie aggravata) [ ] La pena è della reclusione da uno a cinque anni e della multa da. 309 a : 2) se il fatto è commesso ingenerando nella persona offesa il timore di un pericolo immaginario [ ]. Il delitto è punibile d ufficio. I messaggi sono scritti in italiano scorretto ma ormai capita spesso di ricevere testi elaborati da traduttori automatici Il nome a dominio del sito clone è assai differente da quello ufficiale dell istituto di credito 58
59 PHISHING: TRUFFA LA FATTISPECIE EX ART. 167 HA NATURA RESIDUALE: SALVO CHE IL FATTO COSTITUISCA PIÙ La truffa è più grave dell illecito trattamento di dati??? GRAVE REATO ILLECITO TRATTAMENTO: reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi. DELITTO PROCEDIBILE D UFFICIO TRUFFA: reclusione da sei mesi a tre anni e con la multa da. 51 a DELITTO PROCEDIBILE SU QUERELA DELLA PERSONA OFFESA (????) (fattispecie semplice) DELITTO PROCEDIBILE D UFFICIO (fattispecie aggravata) 59
60 PHISHING: TRUFFA Chi è la persona offesa??? TITOLARE DEL CONTO???? ISTITUTO DI CREDITO???? È, senza dubbio, persona offesa È, ugualmente, persona offesa Adozione di misure straordinarie per informare i clienti sull inopportunità di divulgare informazioni relative al proprio conto corrente 60
61 PHISHING: TRUFFA (aggravata) [ ] La pena è della reclusione da uno a cinque anni e della multa da. 309 a : 2) se il fatto è commesso ingenerando nella persona offesa il timore di un pericolo immaginario [ ]. La fattispecie è più grave del 167 Codice Privacy Spesso i messagi inviati dal PHISHER manifestano pericoli e rischi legati alla sicurezza della rete: p.es. divattizione del conto È procedibile d ufficio e non si pongono problemi relativi all individuazione della persona offesa 61
62 PHISHING: FRODE INFORMATICA Art. 640 ter Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da.51 a euro. [ ] Il delitto è punibile a querela della persona offesa [ ]. Art. 640 ter (fattispecie aggravata) [ ] La pena è della reclusione da uno a cinque anni e della multa da. 309 a : 2) se il fatto è commesso ingenerando nella persona offesa il timore di un pericolo immaginario [ ]. Il delitto è punibile d ufficio. Artifizi e raggiri contro il sistema informatico: 1) Alterazione del funzionamento; 2) Intervento senza diritto (sine titulo) sui dati contenuti nel sistema informatico Analogie con il reato di truffa: 1. Identico trattamento sanzionatorio 2. Analoga suddivisione tra ipotesi semplice ed aggravata 3. Analogo sistema di procedibilità nell ipotesi semplice ed aggravata. Cass. n. 3065/99: stessi elementi costitutivi della truffa ma l attività fraudolenta [ ] non investe la persona [ ], bensì il sistema informatico 62
63 PHISHING: ACCESSO ABUSIVO A SIST. INF. Art. 615 ter Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni. [ ] Il delitto è punibile a querela della persona offesa [ ]. Il Phisher che utilizza abusivamente l account del malcapitato configura la fattispecie di accesso abusivo a sistema informatico Art. 615 ter (fattispecie aggravata) [ ] La pena è della reclusione da uno a cinque anni: [ ] 3) se dal fatto deriva la distruzione o il danneggiamento del sistema o l interruzione totale o parziale del suo funzionamento [ ]. Il delitto è punibile d ufficio. Se il sistema si danneggia o si blocca si ricade nella fattispecie aggravata 63
64 PHISHING Accesso Abusivo Tutela della persona vs Frode informatica Tutela del patrimonio CONCORSO MATERIALE: è configurabile in quanto le condotte contengono elementi differenti La manipolazione del sistema informatico è elemento costitutivo soltanto nella fattispecie di frode informatica CONCORSO FORMALE: è escluso in quanto sussistono due momenti concettualmente slegati Introduzione all interno del sistema (accesso abusivo) Manipolazione dei dati contenuti nell account (frode informatica) 64
69 Login2Servlet?function=loginPage 69

References: art. 635
 art. 132
 art. 51
 art. 392
 Art. 167
 Art. 168
 Art. 169
 Art. 170
 Art. 171
 Cass. 
 CASS. 
 Cass. 
 Cass. 
 Sentenza 
 articolo 615
 articolo 615
 articolo 615
 articolo 635
 Art. 635
 Cass. 
 Art. 640
 ART. 167
 ART. 11
 art. 167
 ART. 11
 ART. 167
 ART. 122
 ART. 15
 ART. 15
 ART. 31
 art. 31
 Sentenza 
 Art. 640
 Art. 640
 ART. 167
 Art. 640
 Art. 640
 Cass. 
 Art. 615
 Art. 615