Cryptojacking: minare con computer altrui è reato?

Sì. In Italia non esiste un reato chiamato «cryptojacking», ma usare computer o server altrui per minare criptovalute senza consenso integra, secondo le modalità, l'accesso abusivo a un sistema informatico (art. 615-ter c.p., reclusione fino a 3 anni, da 2 a 10 anni se commesso dall'operatore del sistema), il danneggiamento di sistemi (art. 635-quater c.p., da 2 a 6 anni) e l'installazione di programmi dannosi (art. 635-quater.1 c.p.).

Cos'è il cryptojacking e che reato è in Italia?

Il mining è il processo con cui alcune blockchain, attraverso calcoli intensivi, validano le transazioni e remunerano chi mette a disposizione potenza di calcolo. Il cryptojacking consiste nel far svolgere quei calcoli a dispositivi di altri, senza il loro consenso: server aziendali, computer di un ufficio, istanze cloud violate, oppure i browser dei visitatori di un sito web. Il profitto va a chi ha installato il programma; costi di energia, usura e rallentamenti restano a carico del titolare dei dispositivi.

Il codice penale non contiene una norma dedicata. La qualificazione si costruisce con i reati informatici e patrimoniali esistenti, molti dei quali sono stati riscritti dalla L. 28 giugno 2024, n. 90, che ha aumentato le pene e introdotto l'art. 635-quater.1 c.p. La contestazione concreta dipende da tre domande: come è stato ottenuto l'accesso al sistema, quali effetti ha prodotto il mining e chi ne ha tratto vantaggio.

Installare un miner sui computer dell'ufficio senza permesso è reato?

Sì, anche quando chi lo installa ha legittimamente accesso ai computer. L'art. 615-ter punisce non solo chi entra senza credenziali, ma anche chi «vi si mantiene contro la volontà espressa o tacita» del titolare: usare le proprie credenziali per scopi estranei a quelli per cui l'accesso è stato concesso è la condotta tipica dell'accesso abusivo da parte di un soggetto autorizzato. Il regolamento informatico aziendale e le policy sull'uso delle risorse sono la prova principale di quale fosse la volontà del datore di lavoro.

Oltre al profilo penale, l'uso dei computer dell'ufficio per minare è di regola un grave illecito disciplinare, con possibili conseguenze sul rapporto di lavoro e richieste di risarcimento per i costi energetici e l'usura dell'hardware.

Cosa rischia il dipendente IT che usa i server aziendali per minare?

Per l'amministratore di sistema o il tecnico IT la posizione è più grave. L'art. 615-ter, comma 2, n. 1, c.p. prevede la reclusione da 2 a 10 anni quando il fatto è commesso «con abuso della qualità di operatore del sistema», e in quel caso si procede d'ufficio: l'azienda non può fermare il procedimento rinunciando alla querela. Se il mining ostacola gravemente il funzionamento dei sistemi, si aggiunge il danneggiamento dell'art. 635-quater c.p. (da 2 a 6 anni), che al comma 2 prevede da 3 a 8 anni nelle ipotesi aggravate indicate dalla norma.

Può venire in rilievo anche la frode informatica dell'art. 640-ter c.p., quando il miner altera il funzionamento del sistema per procurare un ingiusto profitto con danno dell'azienda; il secondo comma prevede da 1 a 5 anni se il fatto è commesso con abuso della qualità di operatore del sistema. I profili della norma sono illustrati nella pagina sulla frode informatica dell'art. 640-ter.

Sul versante dell'impresa, i delitti degli artt. 615-ter, 635-bis e 635-quater c.p. rientrano nell'art. 24-bis del D.Lgs. 231/2001 (sanzione da 200 a 700 quote), ma la società non risponde quando il dipendente ha agito nell'interesse esclusivo proprio, come accade di regola nel mining a beneficio personale.

Che differenza c'è tra cryptojacking e accesso abusivo?

L'accesso abusivo è spesso il primo passo del cryptojacking, ma i due fenomeni non coincidono. L'art. 615-ter tutela il «domicilio informatico» e si consuma con l'intrusione o la permanenza non consentita, a prescindere da ciò che si fa dopo. Il cryptojacking aggiunge lo sfruttamento continuativo delle risorse, che può produrre danni al funzionamento del sistema, consumi di energia e profitto per l'autore.

Ci sono poi forme di cryptojacking in cui l'accesso abusivo è discutibile. È il caso dello script inserito in una pagina web ed eseguito nel browser dei visitatori: il visitatore ha scelto di aprire la pagina e il codice non supera misure di sicurezza. Qui la contestazione si sposta più facilmente sull'art. 635-quater.1 (programmi diretti ad alterare il funzionamento di sistemi altrui) o sulla frode informatica, e la difesa discute proprio la tipicità della condotta. Lo stesso tema si pone per chi testa sistemi altrui senza mandato, come descritto nella pagina su hacking etico e bug bounty.

Il cryptojacking può essere punito come furto di energia elettrica?

L'art. 624, comma 2, c.p. stabilisce che agli effetti della legge penale «si considera cosa mobile anche l'energia elettrica e ogni altra energia che abbia un valore economico». Chi fa lavorare dispositivi altrui per il proprio mining fa consumare energia che non paga. La contestazione del furto è quindi prospettabile, soprattutto quando i consumi sono ingenti e documentabili, come nel caso di server o farm aziendali.

La difesa può obiettare che l'energia non è «sottratta» al detentore nel senso tradizionale, ma consumata dal suo stesso impianto per un'attività abusiva, e che il fatto è già descritto dalle norme sui reati informatici. È una questione aperta, da valutare sui fatti concreti, anche perché il furto semplice è procedibile a querela (art. 624, comma 3, c.p.).

Cosa fare se il proprio sito web è stato infettato da uno script di mining?

Il titolare del sito infettato è persona offesa, non autore del reato, ma deve agire in fretta per non esporre i visitatori e non disperdere le prove.

Chi gestisce un sito che ha inserito deliberatamente il mining nel browser dei visitatori, senza informarli e senza consenso, è invece esposto alle contestazioni già viste: art. 635-quater.1 c.p. e, secondo i casi, art. 640-ter c.p. La difesa verte sull'informativa resa agli utenti, sul consenso raccolto e sull'impatto effettivo sui dispositivi.

Come si denuncia un caso di cryptojacking alla Polizia Postale?

La denuncia o la querela si presenta a un ufficio della Polizia Postale e delle Comunicazioni, a qualsiasi ufficio di polizia o alla procura della Repubblica. Il portale del Commissariato di P.S. online consente segnalazioni, ma la querela, quando necessaria, va formalizzata con sottoscrizione nei modi previsti dal codice di procedura penale. Conviene allegare:

• la relazione tecnica sul programma rinvenuto, con hash dei file e indirizzi dei pool di mining o dei wallet di destinazione;
• i log di accesso e i grafici di utilizzo di CPU, GPU ed energia nel periodo interessato;
• i costi sostenuti (bollette, fatture cloud, interventi tecnici), utili anche per la costituzione di parte civile;
• le policy aziendali che vietavano l'uso delle risorse per scopi personali, se l'autore è interno.

Gli indirizzi dei wallet sono spesso l'elemento che permette di risalire all'autore. Per un quadro degli altri reati informatici collegati si vedano l'hub crypto, DeFi e reati informatici, la pagina sull'attacco DDoS e le FAQ sui reati informatici.