Phishing e frodi informatiche: guida legale tra truffa, prova digitale e responsabilità bancaria

1. Inquadramento sistematico: l'evoluzione del diritto penale patrimoniale nell'era della criminalità digitale

L'impatto della rivoluzione digitale ha generato una profonda faglia nel tradizionale assetto del diritto penale patrimoniale. L'evoluzione della frode – e in particolare del fenomeno del phishing – rappresenta l'esempio paradigmatico della smaterializzazione del crimine.

La truffa (art. 640 c.p.) è storicamente fondata sull'inganno interpersonale, mentre le moderne aggressioni tecnologiche si concretizzano nella creazione di "ambienti digitali simulati". Questa evoluzione ha imposto di distinguere tra:

• La Truffa (art. 640 c.p.): sanziona l'induzione in errore della persona e la viziatura della sua volontà.
• La Frode Informatica (art. 640-ter c.p.): punisce l'alterazione del funzionamento di un sistema o l'intervento abusivo su dati e programmi.

2. Anatomia del Phishing: il discrimine strutturale tra Truffa e Frode Informatica

Il cuore del dibattito risiede nell'individuazione dell'oggetto dell'aggressione: la psiche della vittima o l'algoritmo?

2.1. La perdurante vitalità della Truffa ex art. 640 c.p. nel phishing "classico"

Nel phishing tradizionale, l'hacker manipola la percezione della realtà della vittima tramite tecniche di spoofing. L'essenza dell'illecito rimane psicologica: è l'utente che, ingannato, inserisce volontariamente le proprie credenziali. La Corte di Cassazione ha stabilito che se l'evento dannoso deriva da un atto consapevole del soggetto passivo indotto in errore, la fattispecie integra la truffa.

2.2. La Frode Informatica ex art. 640-ter c.p.: la disintermediazione umana

L'art. 640-ter c.p. punisce l'intervento sui dati o sul sistema che procura un ingiusto profitto. Qui l'inganno è diretto "alla macchina". Il trasferimento di fondi avviene senza la cooperazione (seppur viziata) della vittima, spesso tramite malware o attacchi Man-in-the-Browser.

Secondo le Sezioni Unite (sent. n. 41210/2017), il discrimine risiede nel ruolo della volontà: se il trasferimento è l'effetto diretto dell'intrusione informatica che scavalca l'azione umana, si configura la frode informatica.

2.3. Le "zone grigie": modelli ibridi e concorso di reati

Spesso si assiste ad attacchi a cascata (es. Vishing combinato con SIM Swapping). In questi casi è frequente il ricorso al concorso formale di reati (art. 81 c.p.) con fattispecie quali:

• Sostituzione di persona (art. 494 c.p.)
• Accesso abusivo a sistema informatico (art. 615-ter c.p.)
• Detenzione abusiva di codici di accesso (art. 615-quater c.p.)

3. Le criticità probatorie: la prova digitale

L'accertamento di una frode informatica richiede competenze di Digital Forensics.

3.1. Identificazione dell'autore e Money Mules

L'anonimato è garantito da VPN, TOR e dall'uso di Money Mules (soggetti che prestano i conti per frammentare la tracciabilità finanziaria). Le indagini si fondano sull'analisi dei file di Log e dei dati di traffico telematico messi a disposizione dagli ISP.

3.2. Volatilità della prova e standard ISO/IEC 27037

La prova digitale è fragile. Per garantirne l'integrità, l'acquisizione deve seguire standard precisi:

1. Esecuzione di una Copia Forense (Bit-stream image).
2. Calcolo del valore di Hash (impronta digitale algoritmica).

L'assenza di tali procedure può determinare l'inutilizzabilità della prova.

3.3. Competenza territoriale: il locus damni

La Corte di Cassazione (sent. n. 17325/2020) ha chiarito che la competenza si radica nel luogo dove si verifica il depauperamento patrimoniale (locus damni), che solitamente coincide con la filiale dove è radicato il conto corrente del danneggiato.

4. Diritto Civile: la responsabilità degli Intermediari Bancari

La battaglia per il recupero delle somme si sposta sulla banca.

4.1. Diligenza del bonus argentarius

La banca, come operatore professionale, è tenuta alla diligenza tecnica qualificata (art. 1176, comma 2, c.c.). In caso di operazioni non autorizzate, spetta alla banca fornire la prova liberatoria (caso fortuito o colpa grave del cliente).

4.2. La rivoluzione della PSD2

Il D.Lgs. 218/2017 (PSD2) ha introdotto:

• Strong Customer Authentication (SCA): autenticazione a due o più fattori (conoscenza, possesso, inerenza).
• Inversione dell'onere della prova: la banca deve rimborsare immediatamente il cliente, salvo prova di dolo o colpa grave di quest'ultimo.

4.3. I limiti della "Colpa Grave"

Il concetto di colpa grave è interpretato restrittivamente. Non è colpa grave cadere nello Sms Spoofing o nel Caller ID Spoofing se l'inganno è particolarmente sofisticato. È configurabile colpa grave, invece, se il cliente ignora avvisi espliciti di sicurezza o trascura la custodia dei codici.

4.4. L'Arbitro Bancario Finanziario (ABF)

L'ABF rappresenta lo strumento primario per il recupero delle somme. Sebbene le decisioni non siano sentenze, l'osservanza da parte delle banche è elevatissima per evitare danni reputazionali.

5. Prospettive Future

L'uso dell'Intelligenza Artificiale Generativa e dei Deepfake vocali renderà il phishing sempre più insidioso. La difesa si sposterà sulla normazione tecnica, come il regolamento DORA e la futura PSD3, che mirano a rafforzare la resilienza informatica e la protezione contro le frodi per impersonificazione.