Frode informatica art. 640-ter: pene e difesa

La frode informatica (art. 640-ter c.p.) punisce chi altera un sistema informatico o interviene senza diritto su dati e programmi procurandosi un ingiusto profitto con altrui danno: reclusione da 6 mesi a 3 anni, da 1 a 5 anni se il fatto produce un trasferimento di denaro o valuta virtuale, da 2 a 6 anni con furto o indebito utilizzo dell'identità digitale.

Cos'è la frode informatica prevista dall'art. 640-ter?

La frode informatica è il reato di chi ottiene un ingiusto profitto con altrui danno manipolando un sistema informatico o telematico. Le condotte previste sono due: alterare in qualsiasi modo il funzionamento del sistema, oppure intervenire senza diritto, con qualsiasi modalità, su dati, informazioni o programmi contenuti nel sistema o a esso pertinenti. La norma copre le frodi che la truffa tradizionale non riesce a punire, perché nessuna persona viene ingannata.

Esempi tipici: il bonifico disposto entrando nell'home banking di un altro con credenziali carpite; la modifica dei dati di un gestionale per incassare pagamenti non dovuti; l'alterazione di un contatore o di un software di gioco per generare vincite; la manipolazione di un'applicazione di pagamento per addebitare somme a terzi.

Che differenza c'è tra truffa online e frode informatica?

Il criterio è l'oggetto dell'inganno. Nella truffa (art. 640 c.p.) una persona viene indotta in errore con artifizi o raggiri e compie lei stessa l'atto di disposizione, ad esempio un bonifico a un falso venditore. Nella frode informatica nessuno viene ingannato: l'attività fraudolenta investe il sistema, che esegue l'operazione senza che il titolare la voglia. Tra le due norme c'è un rapporto di specialità che esclude il concorso sullo stesso fatto.

Nella pratica le due fasi si combinano: il messaggio che convince la vittima a digitare i codici su un sito falso è l'inganno, l'uso successivo dei codici per svuotare il conto è la manipolazione del sistema. Le truffe in cui la vittima esegue di persona il pagamento, come quelle sentimentali, sono trattate nella pagina sulla truffa romantica online.

Quali pene si rischiano per la frode informatica?

Il comma 2, modificato dal D.Lgs. 184/2021, menziona espressamente la valuta virtuale: lo svuotamento di un wallet di criptovalute tramite accesso al sistema rientra quindi nell'ipotesi aggravata. Se l'accesso avviene con un duplicato della SIM della vittima, lo schema e i reati concorrenti sono descritti nella pagina sul SIM swap e furto di criptovalute.

Usare le credenziali bancarie di un'altra persona per un bonifico è frode informatica?

Sì. Chi entra nell'home banking di un altro con codici carpiti e dispone un bonifico interviene senza diritto sui dati del sistema e produce un trasferimento di denaro: si applica almeno il comma 2. La Cassazione ha chiarito che la nozione di identità digitale del comma 3 comprende anche le credenziali di accesso a servizi di home banking gestiti da privati, senza bisogno di una validazione della pubblica amministrazione (Cass. Sez. II n. 40862/2022). In questi casi la cornice sale a 2-6 anni.

Diverso è l'uso materiale di una carta di pagamento altrui, per esempio al POS o per un acquisto online: il reato tipico è l'indebito utilizzo di strumenti di pagamento diversi dai contanti (art. 493-ter c.p., reclusione da 1 a 5 anni). La Cassazione ha però ritenuto frode informatica, e non indebito utilizzo, la condotta di chi con una carta falsificata e un codice captato penetra nel sistema bancario ed effettua trasferimenti di fondi (Cass. Sez. II n. 26229/2017).

La frode informatica è procedibile d'ufficio o serve la querela?

Il comma 4, nella formulazione della riforma Cartabia (D.Lgs. 150/2022), prevede la querela della persona offesa come regola. Le eccezioni però coprono gran parte dei casi concreti: si procede d'ufficio se ricorre una delle circostanze del comma 2 o del comma 3, oppure la minorata difesa dell'art. 61 n. 5 limitatamente all'approfittamento di circostanze di persona, anche in riferimento all'età. Poiché quasi ogni frode bancaria produce un trasferimento di denaro, la procedibilità a querela resta confinata alle manipolazioni senza spostamento di somme o con un profitto diverso.

Quando serve la querela, il termine è di 3 mesi dalla notizia del fatto (art. 124 c.p.). Quando si procede d'ufficio, la remissione della querela da parte della vittima risarcita non estingue il reato.

Si può evitare il processo per frode informatica risarcendo la vittima?

Dipende dall'ipotesi contestata. L'estinzione del reato per condotte riparatorie (art. 162-ter c.p.) vale solo per i reati procedibili a querela soggetta a remissione: si applica quindi alla sola ipotesi base, se il danno è riparato interamente entro l'apertura del dibattimento di primo grado. Per le ipotesi aggravate il risarcimento non estingue il reato, ma resta rilevante per:

• l'attenuante della riparazione integrale del danno prima del giudizio (art. 62 n. 6 c.p.);
• la particolare tenuità del fatto (art. 131-bis c.p.), applicabile ai reati con pena minima non superiore a 2 anni, soglia rispettata da tutti i commi dell'art. 640-ter;
• la messa alla prova (art. 168-bis c.p.), che richiede un massimo edittale non superiore a 4 anni: è possibile per l'ipotesi base, non per quelle dei commi 2 e 3, che non figurano nell'elenco dell'art. 550, comma 2, c.p.p.

Cosa fare se si è indagati perché il proprio conto ha ricevuto i soldi della frode?

Il titolare del conto su cui arriva il bonifico fraudolento è spesso il primo nome che gli inquirenti trovano. Se ha partecipato all'accordo risponde di concorso nella frode informatica; se non vi ha concorso ma ha messo a disposizione il conto e incassato o girato le somme, la Cassazione qualifica il fatto come riciclaggio (art. 648-bis c.p., reclusione da 4 a 12 anni), anche a titolo di dolo eventuale (Cass. Sez. II n. 19125/2023 e n. 8793/2024). Lo stesso vale per chi presta la propria carta prepagata: chi la usa senza esserne titolare risponde dell'art. 493-ter c.p., il titolare che la cede sapendo a cosa servirà può rispondere di concorso o di riciclaggio.

Gli indici di buona fede e la gestione dell'informazione di garanzia sono gli stessi descritti per i prestanome delle truffe sentimentali: conservare le chat, non movimentare più il conto, non restituire denaro a chi l'ha chiesto, far valutare al difensore se e quando rendere dichiarazioni.

Gli altri reati informatici, dall'accesso abusivo al ransomware, sono raccolti nella sezione crypto e reati informatici; la frode informatica rientra anche tra i reati contro il patrimonio.