Attacco DDoS: che reato è e cosa si rischia

In Italia non esiste un reato chiamato «DDoS». Sovraccaricare un sistema altrui con traffico di dati fino a renderlo inservibile o a ostacolarne gravemente il funzionamento integra di regola il danneggiamento di sistemi informatici (art. 635-quater c.p.), punito con la reclusione da 2 a 6 anni. Se il bersaglio è un sistema di pubblico interesse si applica l'art. 635-quinquies c.p.; le indagini spettano alla procura distrettuale.

Che reato è un attacco DDoS secondo il codice penale?

Un attacco di negazione del servizio distribuito (Distributed Denial of Service) consiste nel far arrivare a un server, a un sito o a una rete una quantità di richieste tale da renderli irraggiungibili per gli utenti legittimi.

La norma che descrive meglio questo risultato è l'art. 635-quater c.p., riscritto dalla L. 28 giugno 2024, n. 90. Il primo comma punisce chi, «attraverso l'introduzione o la trasmissione di dati, informazioni o programmi», rende in tutto o in parte inservibili sistemi informatici o telematici altrui «o ne ostacola gravemente il funzionamento». Non serve entrare nel sistema né cancellare un file: la sola trasmissione di dati che produce un ostacolo grave è sufficiente. Due elementi vanno però provati dall'accusa: che il sistema sia «altrui» e che l'ostacolo sia «grave», cioè non un rallentamento trascurabile.

La norma si apre con una clausola di riserva («salvo che il fatto costituisca più grave reato»): se l'attacco è uno strumento per un'estorsione, ad esempio con la richiesta di denaro per farlo cessare, si aggiunge o prevale la contestazione del reato più grave. Il quadro degli altri reati informatici è raccolto nella sezione su crypto e reati informatici.

Cosa si rischia se l'attacco colpisce un ente o un servizio pubblico?

Quando il bersaglio è un sistema «di pubblico interesse» (siti e servizi di amministrazioni, sanità, protezione civile, ordine pubblico) la tutela è anticipata. L'art. 635-quinquies c.p. punisce con la reclusione da 2 a 6 anni chi «compie atti diretti» a rendere inservibili quei sistemi o a ostacolarne gravemente il funzionamento: il reato è già consumato con l'azione idonea e diretta allo scopo, anche se il servizio non va giù. La pena sale da 3 a 8 anni se dall'attacco derivano distruzione, cancellazione o alterazione di dati, e arriva da 4 a 12 anni se a questo si sommano l'abuso di funzioni o l'uso di violenza o minaccia.

Nelle contestazioni compare talvolta anche l'art. 340 c.p., interruzione di un ufficio o servizio pubblico, che prevede la reclusione fino a 1 anno (fino a 2 anni se il fatto avviene nel corso di manifestazioni in luogo pubblico, da 1 a 5 anni per capi, promotori e organizzatori). La norma si applica però «fuori dei casi preveduti da particolari disposizioni di legge»: se il fatto rientra nell'art. 635-quinquies, la disposizione speciale prevale.

Che differenza c'è tra un attacco DDoS e l'accesso abusivo a un sistema informatico?

L'accesso abusivo (art. 615-ter c.p.) punisce chi «si introduce» in un sistema protetto da misure di sicurezza o vi si trattiene contro la volontà del titolare. Nel DDoS, di regola, nessuno entra nel sistema: lo si sommerge dall'esterno. Per questo la qualificazione corretta non è il 615-ter, salvo che l'attacco sia preceduto o accompagnato da un'intrusione, ad esempio nei dispositivi di terzi usati come fonte del traffico. In quel caso i due reati possono concorrere.

La differenza ha conseguenze concrete sulla procedibilità. L'accesso abusivo semplice è punibile a querela della persona offesa, come l'interruzione di comunicazioni dell'art. 617-quater nell'ipotesi base. Il danneggiamento dell'art. 635-quater, invece, non contiene alcuna previsione di querela e quindi si procede d'ufficio: il ritiro della denuncia da parte della vittima non chiude il procedimento. Chi si occupa di sicurezza per mestiere trova le regole sulle verifiche autorizzate nella pagina su hacking etico e bug bounty.

Pagare un servizio «booter» o «stresser» è reato?

I servizi a pagamento che promettono di «testare» la resistenza di un indirizzo, ma che in pratica lanciano attacchi contro bersagli scelti dal cliente, pongono due questioni distinte. La prima riguarda il solo fatto di procurarsi l'accesso al servizio: l'art. 635-quater.1 c.p., introdotto dalla L. 90/2024, punisce chi, allo scopo di favorire l'interruzione totale o parziale di un sistema o di danneggiarlo, «abusivamente si procura, detiene» o mette a disposizione di altri programmi informatici. La pena è la reclusione fino a 2 anni e la multa fino a 10.329 euro. Lo scopo illecito è parte del reato: va provato, e non si presume dal solo acquisto.

La seconda questione riguarda l'attacco effettivamente eseguito. Chi paga il servizio e indica il bersaglio non è un semplice cliente: secondo l'art. 110 c.p., quando più persone concorrono nel medesimo reato ciascuna soggiace alla pena per questo stabilita. Il committente risponde quindi del danneggiamento dell'art. 635-quater insieme ai gestori della piattaforma. La giustificazione del «test di carico» regge solo se riguarda sistemi propri o sistemi per i quali esiste un'autorizzazione del titolare: la norma punisce infatti l'attacco a sistemi «altrui».

Un attacco DDoS a un server di gioco online è davvero reato?

Sì. Il codice non distingue in base al tipo di servizio colpito: un server di gioco, un canale di streaming o una piattaforma di chat sono sistemi informatici «altrui» come il sito di un'impresa. Se l'attacco rende inservibile il server o ne ostacola gravemente il funzionamento, anche solo per la durata di una partita, la condotta rientra nell'art. 635-quater c.p. Se l'effetto si limita a interrompere il collegamento di un singolo giocatore, la qualificazione più aderente può essere l'interruzione di comunicazioni dell'art. 617-quater c.p., procedibile a querela.

Cosa rischia un minorenne che partecipa a un attacco DDoS?

Sotto i 14 anni il minore non è imputabile (art. 97 c.p.). Fra i 14 e i 18 anni è imputabile se, al momento del fatto, aveva capacità d'intendere e di volere, e la pena è diminuita (art. 98 c.p.). Il procedimento si svolge davanti al tribunale per i minorenni, con istituti propri come la messa alla prova, e le regole sulle misure restrittive sono quelle della giustizia minorile descritte nella pagina sull'istituto penale per minorenni; per le condotte online dei ragazzi si veda anche la pagina sul cyberbullismo.

La partecipazione a un attacco coordinato in un gruppo online resta un concorso nel reato (art. 110 c.p.): anche chi ha solo messo a disposizione il proprio collegamento o ha lanciato il servizio su indicazione di altri contribuisce al risultato. Resta la responsabilità civile dei genitori per i danni causati alla vittima.

Come vengono identificati gli autori di un attacco DDoS?

La competenza per le indagini sui delitti degli artt. 615-ter, 617-quater, 635-quater, 635-quater.1 e 635-quinquies c.p. appartiene alla procura presso il tribunale del capoluogo del distretto (art. 51, comma 3-quinquies, c.p.p.), anche per il tentativo. Gli strumenti principali sono documentali: i registri della vittima e dei suoi fornitori, i dati di traffico conservati dagli operatori, i pagamenti e gli account usati per acquistare servizi di attacco.

L'art. 132 del Codice privacy (D.Lgs. 196/2003) impone ai fornitori di conservare i dati di traffico telematico per 12 mesi dalla comunicazione. Per acquisirli serve un decreto motivato del giudice quando vi siano sufficienti indizi di reati puniti con la reclusione «non inferiore nel massimo a tre anni»: soglia superata dall'art. 635-quater. Se i dati sono presso fornitori esteri, dal 18 agosto 2026 si applica il Regolamento (UE) 2023/1543 sugli ordini europei di produzione, descritto nella pagina sulle prove elettroniche e-evidence.

In caso di condanna, l'art. 240, comma 2, n. 1-bis, c.p. impone la confisca dei beni e degli strumenti informatici usati, anche in parte, per commettere il reato, e del profitto; se non è possibile, la confisca per equivalente.

Come si difende chi è indagato per un attacco DDoS?

La difesa parte dalla qualificazione del fatto. Un rallentamento breve e senza conseguenze può non raggiungere la soglia dell'ostacolo «grave» richiesta dall'art. 635-quater: in quel caso il fatto può essere ricondotto all'art. 617-quater, procedibile a querela, con effetti rilevanti sul termine per proporla e sulla possibilità di rimetterla. Il secondo fronte è l'attribuzione: un indirizzo IP identifica un collegamento, non una persona, e un account di pagamento può essere condiviso o sottratto. Il terzo è l'elemento soggettivo, soprattutto per chi dichiara di aver acquistato un servizio di test per i propri sistemi.

Se l'attacco è stato commesso da un dipendente nell'interesse o a vantaggio di un'impresa, ad esempio contro un concorrente, l'ente può rispondere ai sensi dell'art. 24-bis del D.Lgs. 231/2001, con una sanzione pecuniaria da 200 a 700 quote e sanzioni interdittive.

Cosa deve fare un'azienda che subisce un attacco DDoS?

Sul piano penale la priorità è preservare la prova. I registri del server, del firewall e del fornitore di connettività, con orari e fuso orario, vanno esportati e conservati in copia non modificabile, annotando chi li ha estratti e quando.

La denuncia va presentata alla Polizia postale o alla procura. Per il danneggiamento dell'art. 635-quater non serve la querela, ma se il fatto venisse qualificato come interruzione di comunicazioni (art. 617-quater) la querela sarebbe necessaria entro 3 mesi dal giorno in cui si ha notizia del fatto (art. 124 c.p.): conviene quindi presentare, nello stesso atto, denuncia e querela. Il costo dell'attacco (fermo del servizio, ore di lavoro, servizi di mitigazione) va documentato fin da subito per la costituzione di parte civile.