Crypto, DeFi e reati informatici
Hacking etico e bug bounty: quando è accesso abusivo
In questa guida
- Un hacker etico che trova una vulnerabilità commette accesso abusivo?
- Cosa rischia chi testa la sicurezza di un sito senza autorizzazione?
- Che differenza c'è tra penetration test autorizzato e accesso abusivo?
- Partecipare a un bug bounty mette al riparo da denunce?
- Chiedere un compenso dopo aver segnalato una falla può essere estorsione?
- Che cos'è la responsible disclosure e ha valore legale in Italia?
- Quali regole deve rispettare un contratto di penetration test?
- Cosa fare se un'azienda denuncia il ricercatore che le ha segnalato una falla?
- Domande frequenti
- Fonti
L'hacking etico è lecito solo se autorizzato dal titolare del sistema. Senza consenso, entrare in un sistema protetto da misure di sicurezza per cercarvi vulnerabilità integra l'accesso abusivo dell'art. 615-ter c.p., punito con la reclusione fino a 3 anni (da 2 a 10 nelle ipotesi aggravate), anche se l'intento era segnalare la falla. Il programma di bug bounty vale come consenso solo entro il suo perimetro.
In sintesi
- L'accesso abusivo base è punito con la reclusione fino a 3 anni ed è procedibile a querela, da proporre entro 3 mesi (artt. 615-ter, comma 4, e 124 c.p.).
- Se il test causa interruzione o danneggiamento del sistema la pena va da 2 a 10 anni e si procede d'ufficio.
- Sui sistemi di interesse pubblico (sanità, ordine pubblico, protezione civile) la pena va da 3 a 10 anni.
- Il consenso del titolare esclude il reato (art. 50 c.p.), ma solo per i sistemi, i tempi e le tecniche autorizzati.
- Chiedere denaro minacciando di sfruttare o divulgare la falla può integrare l'estorsione informatica: reclusione da 6 a 12 anni (art. 629, comma 3, c.p.).
- Dal 2024 il CSIRT Italia coordina la divulgazione delle vulnerabilità (art. 16 D.Lgs. 138/2024), ma la segnalazione non è una causa di non punibilità.
Un hacker etico che trova una vulnerabilità commette accesso abusivo?
Dipende da come l'ha trovata. L'art. 615-ter c.p. punisce chi «abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo». Il reato non richiede un danno né un fine di profitto: si consuma con l'ingresso non autorizzato o con la permanenza oltre i limiti consentiti. Le buone intenzioni del ricercatore non compaiono tra gli elementi della fattispecie.
La Cassazione lo ha chiarito in termini generali. Le Sezioni Unite, sentenza n. 4694 del 27 ottobre 2011 (Casani), hanno affermato che integra il reato chi accede o si mantiene nel sistema «violando le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare», restando «irrilevanti» gli scopi che hanno motivato l'ingresso. Le Sezioni Unite n. 41210 del 18 maggio 2017 (Savarese) hanno poi esteso il reato a chi, pur abilitato, accede «per ragioni ontologicamente estranee» a quelle per cui l'accesso gli è consentito.
Non commette invece accesso abusivo chi individua una debolezza osservando ciò che il sistema espone a chiunque, senza superare alcuna misura di sicurezza: una pagina pubblica configurata male, un messaggio di errore visibile a tutti, un file lasciato in un'area aperta. Il confine passa per il superamento della protezione, non per la scoperta in sé.
La norma — art. 615-ter, comma 1, c.p. (testo vigente, Brocardi)
«Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.»
Cosa rischia chi testa la sicurezza di un sito senza autorizzazione?
Le pene dipendono dal tipo di sistema e dagli effetti del test. La L. 28 giugno 2024, n. 90 ha inasprito le pene di tutti i principali reati informatici.
| Condotta | Norma | Pena | Procedibilità |
|---|---|---|---|
| Ingresso o permanenza non autorizzati in un sistema protetto | Art. 615-ter, comma 1, c.p. | Reclusione fino a 3 anni | A querela |
| Accesso da cui deriva interruzione, danneggiamento o indisponibilità del sistema o dei dati | Art. 615-ter, comma 2, n. 3 | Reclusione da 2 a 10 anni | D'ufficio |
| Accesso a sistemi di interesse militare, sanitario, di ordine pubblico o comunque pubblico | Art. 615-ter, comma 3 | Da 3 a 10 anni; da 4 a 12 se aggravato | D'ufficio |
| Procurarsi o diffondere codici e credenziali di accesso per un vantaggio o per arrecare un danno | Art. 615-quater c.p. | Reclusione fino a 2 anni e multa fino a 5.164 euro | D'ufficio |
| Costringere a pagare con la minaccia di attacchi informatici | Art. 629, comma 3, c.p. | Reclusione da 6 a 12 anni e multa da 5.000 a 10.000 euro | D'ufficio |
Un test che rallenta o blocca il servizio, anche involontariamente, espone a contestazioni più gravi: se il sistema viene reso indisponibile può venire in rilievo il danneggiamento dei sistemi (art. 635-quater c.p.), trattato nella pagina sull'attacco DDoS. Chi raccoglie in modo automatizzato dati personali durante il test rischia inoltre le contestazioni descritte nella pagina sul web scraping.
Che differenza c'è tra penetration test autorizzato e accesso abusivo?
La differenza è il consenso del titolare del sistema. L'art. 50 c.p. stabilisce che «non è punibile chi lede o pone in pericolo un diritto, col consenso della persona che può validamente disporne». Il consenso esclude il reato solo se proviene da chi ha il potere di escludere terzi dal sistema e solo nei limiti in cui è stato dato. Un test che esce dal perimetro concordato torna a essere un accesso contro la volontà del titolare.
| Elemento | Penetration test su incarico | Programma di bug bounty | Test non richiesto |
|---|---|---|---|
| Fonte del consenso | Contratto con il titolare | Regolamento pubblico del programma | Nessuna |
| Perimetro | Sistemi, indirizzi e finestre temporali indicati nel contratto | Asset «in scope» elencati nel regolamento | Nessuno |
| Rischio penale | Solo per attività fuori perimetro | Solo per attività fuori perimetro o vietate dal regolamento | Art. 615-ter e reati collegati |
| Compenso | Pattuito in anticipo | Previsto dal regolamento | Qualsiasi richiesta successiva è a rischio di estorsione |
Partecipare a un bug bounty mette al riparo da denunce?
Solo in parte. Il regolamento del programma funziona come consenso preventivo del titolare, e quindi rende lecite le attività che vi rientrano. Ma il consenso copre ciò che il titolare può autorizzare: se l'applicazione gira su infrastrutture di terzi (cloud, fornitori, servizi integrati), il gestore del programma non può consentire attacchi ai sistemi altrui. Restano esclusi anche le tecniche vietate dal regolamento, l'accesso a dati personali oltre quanto necessario a dimostrare la falla e la loro conservazione.
Le clausole di «safe harbor» con cui l'azienda si impegna a non denunciare i partecipanti hanno valore sul piano dei rapporti con quell'azienda: incidono sulla querela, che per l'accesso abusivo base è necessaria, ma non impediscono al pubblico ministero di procedere per le ipotesi perseguibili d'ufficio, come l'accesso che provoca un'interruzione del servizio.
Chiedere un compenso dopo aver segnalato una falla può essere estorsione?
Sì, se la richiesta è accompagnata, anche implicitamente, dalla prospettiva di un danno. La L. 90/2024 ha introdotto il comma 3 dell'art. 629 c.p.: è punito con la reclusione da 6 a 12 anni e con la multa da 5.000 a 10.000 euro chi, mediante accesso abusivo, intercettazione o danneggiamento informatico «ovvero con la minaccia di compierle», costringe taluno a fare o omettere qualcosa procurandosi un ingiusto profitto. Frasi come «se non pagate pubblico la falla» o «altri potrebbero sfruttarla» possono essere lette come minaccia.
La sola segnalazione gratuita, senza condizioni, non pone questo problema. Chi intende essere remunerato deve farlo attraverso un programma di bug bounty esistente o un incarico formale concordato prima di qualsiasi attività sul sistema.
Che cos'è la responsible disclosure e ha valore legale in Italia?
La responsible disclosure (o divulgazione coordinata) è la prassi di segnalare una vulnerabilità al titolare, concedendogli il tempo di correggerla prima di renderla pubblica. Il D.Lgs. 4 settembre 2024, n. 138, che ha recepito la direttiva NIS2, all'art. 16 affida al CSIRT Italia il ruolo di coordinatore e intermediario di fiducia tra chi segnala e il produttore o fornitore del prodotto vulnerabile, con la possibilità di segnalare in forma anonima.
La norma disciplina il canale di segnalazione, non la responsabilità penale: non introduce una causa di non punibilità per chi ha scoperto la vulnerabilità con un accesso abusivo. Una segnalazione tempestiva e disinteressata resta però un elemento rilevante per la valutazione della gravità del fatto, per la decisione della persona offesa di non presentare querela e per l'eventuale remissione.
Quali regole deve rispettare un contratto di penetration test?
Il contratto è la prova del consenso: deve essere scritto, firmato prima dell'inizio delle attività e sufficientemente preciso da permettere, a posteriori, di verificare che ogni azione rientrava nel perimetro.
- Legittimazione del committente: chi firma deve avere il potere di autorizzare test su tutti i sistemi indicati; per quelli ospitati da terzi serve l'autorizzazione del fornitore.
- Perimetro: indirizzi, domini, applicazioni e ambienti ammessi, con esclusioni esplicite.
- Tempi e tecniche: finestre orarie, test ammessi e vietati, in particolare quelli che possono causare interruzioni.
- Dati personali: limiti all'accesso, divieto di copia oltre il necessario, cancellazione a fine incarico.
- Referenti e procedura di arresto: chi contattare se il test produce effetti imprevisti.
- Riservatezza e consegna del rapporto: a chi va il report e come vengono conservate le evidenze.
Cosa fare se un'azienda denuncia il ricercatore che le ha segnalato una falla?
Tempi
- Subito: conservare tutta la corrispondenza con l'azienda, il regolamento del programma o il contratto vigenti alla data del test, e i registri delle attività svolte.
- Prima di qualsiasi dichiarazione: nominare un difensore; l'interrogatorio va affrontato conoscendo gli atti.
- Entro 3 mesi dalla notizia del fatto: termine entro cui la persona offesa può proporre querela per l'accesso abusivo base (art. 124 c.p.).
- In caso di perquisizione: chiedere che la copia forense dei dispositivi avvenga con modalità verificabili e annotare a verbale i dispositivi estranei ai fatti.
La difesa verte di norma su tre punti: l'esistenza di un consenso (anche desumibile dal regolamento pubblico), l'assenza di superamento di misure di sicurezza e l'assenza di effetti sul sistema, che mantiene il fatto nell'ipotesi base procedibile a querela.
Esempio (caso ricostruito a fini illustrativi)
Un ricercatore segnala a un'azienda che il suo portale clienti espone i documenti degli utenti modificando un parametro nell'indirizzo. Nell'email aggiunge che «in casi simili le aziende riconoscono un premio». L'azienda presenta querela per accesso abusivo e segnala la frase come tentativo di estorsione.
La difesa documenta che i documenti erano raggiungibili senza credenziali né superamento di protezioni, che il ricercatore ha consultato un solo file per verificare il problema e non ha formulato alcuna minaccia. Esito possibile: archiviazione per l'insussistenza delle misure di sicurezza superate e per l'assenza di minaccia; in alternativa, se il giudice ritiene sussistente l'accesso, la remissione della querela resta possibile nell'ipotesi base.
Errori da evitare
- Iniziare un test «per dimostrare la buona fede» prima di avere un'autorizzazione scritta: l'accesso resta abusivo e il consenso successivo non lo sana.
- Scaricare o conservare dati personali per provare la vulnerabilità: aggrava la posizione e apre contestazioni ulteriori.
- Legare la segnalazione a una richiesta di denaro o a una scadenza di pubblicazione: espone all'accusa di estorsione informatica, da 6 a 12 anni.
- Presumere che il bug bounty copra anche i sistemi dei fornitori dell'azienda: il consenso vale solo per ciò che il titolare può autorizzare.
Il quadro dei reati informatici e delle tecnologie digitali è raccolto nella sezione crypto, DeFi e reati informatici; per le aziende colpite da attacchi si veda la pagina sul pagamento del riscatto ransomware.
Domande frequenti
Un hacker etico che trova una vulnerabilità commette accesso abusivo a un sistema informatico?
Sì, se per trovarla è entrato senza autorizzazione in un sistema protetto da misure di sicurezza: l'art. 615-ter c.p. punisce l'accesso con la reclusione fino a 3 anni, a prescindere dalle intenzioni. Le Sezioni Unite (n. 4694/2012) hanno ritenuto irrilevanti gli scopi dell'ingresso. Non c'è reato se la falla era visibile senza superare protezioni.
Partecipare a un programma di bug bounty mette al riparo da denunce penali?
Solo per le attività comprese nel perimetro del regolamento, che vale come consenso del titolare (art. 50 c.p.). Restano esclusi i sistemi di terzi, le tecniche vietate e l'accesso a dati oltre il necessario. L'impegno a non denunciare incide sulla querela, ma non impedisce di procedere d'ufficio nelle ipotesi aggravate.
Cosa rischia chi testa la sicurezza di un sito senza autorizzazione?
Rischia l'accusa di accesso abusivo (art. 615-ter c.p.): reclusione fino a 3 anni, da 2 a 10 se il test causa interruzioni o danni, da 3 a 10 per i sistemi di interesse pubblico. L'ipotesi base è procedibile a querela entro 3 mesi; quelle aggravate d'ufficio.
Che differenza c'è tra penetration test autorizzato e accesso abusivo a un sistema informatico?
La differenza è il consenso scritto del titolare del sistema, che esclude il reato ai sensi dell'art. 50 c.p. Il consenso vale solo per i sistemi, i tempi e le tecniche concordati: un'attività fuori perimetro torna a essere accesso abusivo ai sensi dell'art. 615-ter c.p., anche durante un incarico regolare.
Chiedere un compenso dopo aver segnalato una falla a un'azienda può esporre a un'accusa di estorsione?
Sì, se la richiesta si accompagna, anche implicitamente, alla prospettiva di divulgare o sfruttare la falla. L'art. 629, comma 3, c.p., introdotto dalla L. 90/2024, punisce l'estorsione commessa con reati informatici o con la minaccia di compierli con la reclusione da 6 a 12 anni e la multa da 5.000 a 10.000 euro.
Cosa fare se un'azienda denuncia il ricercatore che le ha segnalato una vulnerabilità?
Occorre conservare corrispondenza, regolamento o contratto e registri delle attività, nominare un difensore prima di rendere dichiarazioni e verificare se il fatto rientra nell'ipotesi base dell'art. 615-ter, procedibile a querela entro 3 mesi. La difesa verte su consenso, assenza di misure di sicurezza superate e assenza di danni.
Quali regole deve rispettare un contratto di penetration test per evitare rischi penali?
Il contratto deve essere scritto e firmato prima dei test da chi può autorizzarli, indicare sistemi, indirizzi, finestre temporali e tecniche ammesse, regolare l'accesso ai dati personali e la loro cancellazione, prevedere referenti e una procedura di arresto. È la prova del consenso richiesto dall'art. 50 c.p.
Che cos'è la responsible disclosure e ha valore legale in Italia?
È la segnalazione di una vulnerabilità al titolare prima di renderla pubblica. L'art. 16 del D.Lgs. 138/2024 affida al CSIRT Italia il coordinamento delle segnalazioni, anche anonime. La norma regola il canale, ma non rende lecito un accesso abusivo compiuto per scoprire la falla: non è una causa di non punibilità.
Fonti
- Codice penale, art. 615-ter – Accesso abusivo a un sistema informatico (Brocardi)
- Codice penale, art. 615-quater (Brocardi)
- Codice penale, art. 629 – Estorsione, comma 3 introdotto dalla L. 90/2024 (Brocardi)
- Codice penale, art. 50 – Consenso dell'avente diritto (Brocardi)
- Codice penale, art. 124 – Termine per proporre la querela (Brocardi)
- JusForYou – Cass. Sez. Un. n. 4694/2012 (Casani) e n. 41210/2017 (Savarese) sull'art. 615-ter
- Linea Amica (Governo) – D.Lgs. 138/2024, Capo II, art. 16 divulgazione coordinata delle vulnerabilità
