Newsgroup: it.diritto.internet
Titolo: Spamtrap: definizione ed impiego

[X-post tra it.news.net-abuse, it.diritto.internet e FU su 
it.diritto.internet]
Sto aggiornando l'articolo sullo spam scritto con INNA e documentandomi 
ho iniziato ad essere incuriosito dalle spamtrap.
Da quello che ho avuto modo di vedere, in genere si tratta di indirizzi, 
mai utilizzati per inviare, lasciati in bella vista perch� vengano 
acquisiti dai programmi degli spammer.
Una volta che un'e-mail raggiunge la spamtrap si presuppone che sia UCE e 
quindi si agisce di conseguenza (tipicamente si inserisce l'indirizzo in 
BL oppure si segnala lo spammer all'abuse o al Garante).
Ferma restando la validit� e l'importanza della lotta allo spam la 
questione mi ha incuriosito da un unto di vista giuridico e qui vorrei 
confrontarmi con voi. 
Premetto che vi sono pochi dubbi che l'attivit� di acquisizione, cessione 
e trattamento di indirizzi e-mail in assenza di preventiva autorizzazione 
viola l'articolo 167 Dlgs 196\03 e, quindi, � un reato.
Da questo punto di vista la predisposizione di spamtrap, soprattutto se 
finalizzate alla segnalazione al Garante o alla denuncia, *potrebbe* 
essere vista come "attivit� sotto copertura" e, quindi, essere soggetta 
alla disciplina propria della stessa?
Le caratteristiche mi sembrano esserci tutte:
si tratta di indirizzi predisposti e seminati per attirare gli spammer;
si tratta di indirizzi predisposti per individuare l'autore di un reato e 
denunciarlo;
non si tratta di un evento casuale, ma volontariamente ricercato dalla 
"vittima" che funge da esca.
E' un po' come se un soggetto circolasse in quartieri malfamati al fine 
di farsi aggredire e poi denunciare gli aggressori o circolare in zone 
dove si sa essere in corso attivit� di spaccio per farsi offrire della 
droga.
-- 
Parsifal

 la rete sia "malfamata" a priori.
No do per assunto che esistano indirizzi e-mail buttati a pastura e mi 
interessa affrontare la questione da un punto di vista giuridico senza 
arrampicate sugli specchi o giustificazioni inverosimili.
Preso un fatto mi interessa individuare l'applicabilit� allo stesso dei 
principi generali del diritto.
 
ciao
-- 
Parsifal

 
http://www.monkeys.com/cgi-bin/wpoison/wpoison.cgi
Grazie!
-- 
Parsifal


Non necessariamente in bella vista. Io ho un paio di indirizzi messi con 
colore di sfondo (quindi non visibili) ma letti dai vari bot che prendono i 
link direttamente dall'html
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Fashion is a form of ugliness so intolerable that we have to alter it
every six months.
		-- Oscar Wilde

 ho iniziato ad essere incuriosito dalle spamtrap.
Scusa la domanda fuori tema (e forse un po' invadente), tu sei il Sir 
Parsifal che ha scritto recentemente sui forum di PI? Se � cos�, 
complimenti!

 complimenti!
Grazie. Oggi hanno pubblicato il primo di una serie di articoli sulla 
forensic.
IMHO quelli dovrebbero essere scritti bene ;)
-- 
Parsifal

 alla disciplina propria della stessa?
Improbabile per le ragioni sopra esposte.

 denunciarlo;
No, nella stragrande maggioranza dei casi si tratta di strumenti volti a 
migliorare contromisure tecniche gi� in atto (filtri, liste di blocco 
ecc.). La componente "giudiziaria" � irrilevante.
Ciao
  David

 Improbabile per le ragioni sopra esposte.
Aspetta non confondere le conclusioni con le premesse. Il fatto che 
l'invio di spam ad una trap NON costituisca reato, per le ragioni, su 
esposte non toglie che viene posta in essere un'attivit� specifica, 
soprattutto laddove questa attivit� sia finalizzata ad individuare e 
*segnalare* eventuali illeciti ovvero da tale attivit� scaturiscano 
segnalazioni o esposti.
La mia tesi, che qui voglio testare, � che la predisposizione di spamtrap 
sia perfettamente legittima (soprattutto nelle modalit� espresse Roberto 
o Arne) laddove finalizzata all'aggiornamento di filtri o blacklist, ma 
cessa di esserlo se diretta a segnalare gli spammer. 
-- 
Parsifal



Si lo so, ma a me interessa soprattutto questo aspetto che, bench� 
marginale, ha interessanti risvolti.
Infatti se leggi il primo post la premessa ai tre punti era "Da questo 
punto di vista la predisposizione di spamtrap, soprattutto se 
finalizzate alla segnalazione al Garante o alla denuncia, *potrebbe* 
essere vista come "attivit� sotto copertura" e, quindi, essere soggetta 
alla disciplina propria della stessa?".
Proprio questo � l'aspetto che mi interessa, soprattutto in ragione 
dell'assenza dell'elemento "danno".
-- 
Parsifal

 cessa di esserlo se diretta a segnalare gli spammer. 
Posto che ritengo lo spam un fenomeno solo marginalmente collegato 
alla "legge sulla privacy" (per non dire che con essa non c'entra una 
cippa), mi chiedo: hai in mente la figura dell'agente provocatore? 
Perch� il ragionamento non mi convince :)

alla disciplina propria della stessa?".
ci puoi dire a quale disciplina ti riferisci ?
Programmi come striscia la notizia o le iene fanno largo uso di riprese con
telecamera nascosta ( praticamente attivit� sotto copertura) e non sembrano
soggetti ad alcuna disciplina.

 sembrano soggetti ad alcuna disciplina.
Non devono andare in giudizio ;)
A me interessano *solo* gli eventuali limityi all'utilizzabilit� della 
prova in sede penale (al limite nel procedimento innanzi al Garante).
-- 
Parsifal

 ragionamento non mi convince :)
Esatto. All'inizio non convinceva neppure me (perch� partivo dalle tue 
premesse ISP o servizi di DNSBL), ma poi ho pensato "...e se fosse un 
utente ad allestirle al solo fine di segnalare lo spam?"
-- 
Parsifal

 utente ad allestirle al solo fine di segnalare lo spam?"
Uhm, non mi convince neppure cos�. La figura dell'agente provocatore 
rileva in termini giuridici sui seguenti fronti:
1) sussistenza dell'elemento oggettivo di un reato commesso 
dall'agente provocatore che, agendo  per ragioni di giustizia, non 
viene chiamato a risponderne per difetto dell'elemento soggettivo, per 
la scriminante di cui all'art. 51 c.p. e in forza delle norme speciali 
finalizzate alla prevenzione di determinati reati (cfr. legge 268/98, 
legge 228/03).
2) utilizzabilit� in sede processuale delle prove raccolte dall'agente 
provocatore durante le attivit� di cui sopra.
Nel caso che ci interessa:
1) non c'� reato n� da parte dello spammer n� da parte dell'agente 
provocatore (chiamiamolo cos�)
2) si parla di procedimenti di fronte al Garante.
Mi sfugge qualcosa?

 Mi sfugge qualcosa?
Non solo di fronte al garante. Astrattamente si potrebbe anche ptrocedere 
penalmente ex 167 dlgs 196/03, giusto?
Ribadisco, la mia posizione � che il materiale raccolto dallo 
pseudoagente (laddove si dimostri il suo modus operandi) sia 
inutilizzabile, ma sono dispostissimo a cambiare idea ;)
-- 
Parsifal

 inutilizzabile, ma sono dispostissimo a cambiare idea ;)
Partiamo dall'art. 191 c.p.p. Quale norma (recte: quale divieto) di 
legge sarebbe stato violato dal nostro agente?

 legge sarebbe stato violato dal nostro agente?
In primo luogo che il ruolo sarebbe stato svolto da un privato cittadino 
e non da un agente o ufficiale di PG.
In secondo luogo che l'attività sarebbe stata svolta al di fuori di quei 
casi previsti dalla legge.
L'unica giurisprudenza di riferimento che ho trovato (almeno per il 
momento) è la decisione del Tribunale di Roma (civile, Ordinanza 14 – 16 
luglio 2007)sul caso Peppermin (utilizzabilità dei dati in sede cautelare)
in cui il convenuto osservava, tra le altre cose:   che i dati raccolti 
dalle ricorrenti, ossia gli indirizzi IP e GUID, erano inutilizzabili in 
quanto acquisiti illecitamente in violazione della normativa sulla tutela 
della riservatezza, [omissis] e non comprendeva anche il trattamento dei 
dati nella fase acquisitiva degli stessi, come viceversa fatto dalle 
odierne ricorrenti con l'incarico alla società Y., risoltosi di fatto 
nell'acquisizione di dati personali senza il consenso degli interessati 
nei confronti di migliaia di soggetti inserendosi nella rete peer to 
peer, e simulando di essere un fruitore dei servizi, analogamente al 
modus operandi dell'agente provocatore.
Un altro precedente è una decisione del GUP di P. in relazione ad un 
procedimento penale a carico di un soggetto che cercava e denunciava siti 
pedo. In estrema sintesi, in questo provvedimento il GUP affrontava 
brevemente la questione. Dovrei averlo aerchiviato da qualche parte, se 
ti interessa lo ricerco.
In breve volendo riassumere la questione in poche righe la domanda di 
fondo è:
"posso io, privato cittadino, allestire una o più spamtrap al fine di 
ricevere spam e denunciarne gli autori?"
A questa domanda io, d'istinto rispondo no (per le ragioni su indicate), 
ma non sono convinto del tutto...
-- 
Parsifal

 potrebbe avere spamtrap su domini altrui...
Molto più semplicemente farei riferimento all'assenza di ruoli\incarichi 
particolari (non è un ISP, non è l'admin di una grossa rete etc.).
In ogni caso l'eventuale difficoltà a distinguere tra utenti ed altri 
ruoli non è particolarmente rilevante ai fini della questione.
Ciao
-- 
Parsifal

 ma non sono convinto del tutto...
IMHO, sì perché le spamtrap sono di mia proprietà, sono dati miei
personali.
Non si tratta di aprire siti-civetta o simili, ma di semplici caselle
e-mail che posso usare anche "normalmente" salvo poi verificarne l'uso
non corretto da parte di spammer/bot e compagnia.
Se sul mio sito indico una e-mail "spamtrap-nonusare@dominio" e ricevo
posta, direi che c'è stato un uso non corretto del mio dato personale.
Meglio ancora, caselle disattivate anni addietro e riattivate;
indirizzi copiati male ed evidentemente abusati da spammer (ne ho
diversi così).
D'altra parte il discorso si potrebbe allargare agli honey-pot :)
Gabriele

 questo qualcuno abbia reperito l'indirizzo :)
E' proprio ciò che penso anch'io, lo spammer ha inviato messaggi che
non potevano assolutamente essere stati richiesti :)
Gabriele

 ti interessa lo ricerco.
Interessante. Se per te non è un problema potresti postarlo?

 Interessante. Se per te non è un problema potresti postarlo?
Al momento non ho ritrovato la decisione del GUP, ma solo la sentenza su 
cartaceo :(.
Riassumo:
---
Tribunale di X
Tizio imputato del dilitto p.p. dagli artt. 600 quater e 62 n.1 perché 
consapevolmente, sia pure al fine di fornire alla PG elementi utili alle 
indagini (attività per la quale non risultava essere legittimato ai fini 
della normativa vigente) si procurava materaile pedo.
 
imputazione coattiva su ordine del GIP ex 409 comma 5 cpp a seguito di 
richiesta di archiviazione non accolta.
 
MOTIVAZIONE
.. all'esito delle risultanze istruttorie il fatto di cui al capo di 
imputazione appare provato...
.. sul punto vanno allora disattesi tutti i motivi addotti dalla difesa 
a giustificazione della condotta tenuta dall'imputato , ...
invero va precisato che in tema di reati contro i minori l'attività di 
contarsto attraverso un agente provocatore è disciplinata in maniera 
assai rigorosacosì da escludere una sua applicazione estensiva...
.. sul punto è stato osservato che tale attività in tanto può ritenersi 
consentita ... in quanto strettamente limitata a casi eccezionali e 
soggetta ad una rigida disciplina...
.. la norma ha natura assolutamente eccezionale che la sottrae a 
qualsiasi possibilità di applicazione estensiva. Ne consegue che le prove 
acquisite mediante l'attività di indagine svolta da un cd agente 
provocatore non possono essere utilizzate nei procedimenti per reati 
diversi da quelli previsti dalla legge 269/98.   
---
Scusa ma non ora non ho il tempo di acquisirla in forma integrale ;)
-- 
Parsifal

 diversi da quelli previsti dalla legge 269/98.   
Ok, non mi pare che contraddica in alcun modo quanto già 
precedentemente affermato. In quel caso "l'agente", al fine di 
raccogliere delle "prove" ha commesso un reato. Fosse stato anche un 
agente di PG il risultato (inutilizzabilità delle prove) non sarebbe 
cambiato visto che, per espressa previsione contenuta nell'art. 14 L. 
269/98, tale attività è riservata agli ufficiali di PG previa 
autorizzazione dell'A.G.
Ribadisco pertanto quanto già scritto: attivare una mailbox e ricevere 
e-mail NON è attività riservata.
L'imputato è stato poi condannato?


non e' mai esistito, eppure ieri gli sono stati indirizzati 23 messaggi.
Alle volte diventano popolari dei Message-IDs (che sintatticamente sono
simili a indirizzi), e cosi' alcuni Message-IDs effettivamente assegnati
a messaggi uscenti in un lontano passato possono venire promossi al
ruolo di trap.
furio

 L'imputato è stato poi condannato?
Si non so se ha fatto appello.
In merito alle spamtrap, in conclusione tu saresti per l'utilizzabilità, 
giusto?  
-- 
Parsifal

acquisiti dai programmi degli spammer.
Nel mio caso sono indirizzi/domini che erano attivi anni prima e sono
stati riattivati dopo un periodo di non funzionamento, ma non faccio
nulla per disseminarli.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 giusto?  
Io sì.

 Io sì.
Hai quasi convinto anche me.
L'unico dubbio che mi resta è: tu le vedresti utilizzabili anche al fine 
di raccogliere dati\spam da utilizzare in sede giudiziaria?
-- 
Parsifal

 a tali indirizzi, non � che la mailbox "vada fuori a cercare spam" :)
Non � quello l'eventuale problema, ma l'eventuale trattamento di dati
altrui, ovvero - paradosso - degli spammer o presunti tali.
-- 
 Candido

 di raccogliere dati\spam da utilizzare in sede giudiziaria?
In sede penale dici? Poiché non mi pare che si possa parlare di 
trattamento di dati avvenuto in violazione di divieti stabiliti dalla 
legge, io direi di sì.
Resta però il fatto che *oggi* lo Spam di per sé non è penalmente 
sanzionabile, per cui mi pare si stia parlando di ipotesi più teoriche 
che pratiche.

 che pratiche.
Si si pura teoria. L'idea è nata da una discussione al termine di una 
lezione sui reati tipici dell'amministratore di rete... nulla di pratico 
un semplice caso di scuola in linea assolutamente teorica.
-- 
Parsifal

 e trattamento di indirizzi e-mail in assenza di preventiva autorizzazione
Primo: la possibilità che qualcuno faccia ricorso è pari a quella di
poter fare una causa contro uno spammer cinese. Ovvero nulla.
Secondo: lo spammer non sa di essere finito nella spamtrap, e chi
gestisce la trap non andrà mai a fornire informazioni sulla stessa.
Terzo: basterebbe pubblicizzare la spamtrap su una pagina html con una
didascalia stile captcha che riporti la dicitura "sono uno spammer e
dichiaro di voler bloccare gli invii dalla mia rete inviando campioni
del mio spam". Oppure affermare che, in passato lo spam è stato
raccolto utilizzando questo metodo. Sfido chiunque a provare il
contrario.