Pagare il riscatto di un ransomware: è reato?

Pagare il riscatto di un ransomware non è, di per sé, reato in Italia: nessuna norma penale vigente al settembre 2026 lo vieta in via generale, e l'azienda colpita è persona offesa di un'estorsione informatica punita con la reclusione da 6 a 12 anni (art. 629, comma 3, c.p.). Restano però obblighi di notifica entro 24-72 ore e rischi specifici, come il pagamento a soggetti colpiti da sanzioni UE.

È reato pagare il riscatto a chi ha criptato i dati aziendali?

No, nella generalità dei casi. Il codice penale non contiene una norma che punisca la vittima di un'estorsione per aver ceduto alla richiesta. Chi paga per riottenere l'accesso ai propri dati o per evitarne la pubblicazione subisce il reato: è persona offesa dell'estorsione dell'art. 629, comma 3, c.p., introdotto dalla L. 28 giugno 2024, n. 90, e dei reati informatici che la accompagnano.

Il pagamento, tuttavia, non è un atto neutro. Può esporre a rischi quando il destinatario è un soggetto sottoposto a misure restrittive dell'Unione europea, quando la provvista viene costituita con modalità che eludono i controlli antiriciclaggio, o quando la decisione di pagare viene presa da un amministratore in conflitto di interessi. Nessuna di queste ipotesi deriva dal pagamento in sé: dipendono da circostanze che vanno verificate prima di decidere.

Per le pubbliche amministrazioni il discorso è diverso: l'uso di denaro pubblico per un riscatto solleva questioni di responsabilità contabile e disciplinare che esulano da questa pagina.

Che reato commettono gli autori di un attacco ransomware?

Un attacco ransomware riunisce di solito più reati in concorso tra loro. La L. 90/2024 ha aumentato le pene di quasi tutte le fattispecie coinvolte.

Gli autori operano quasi sempre dall'estero e ricevono pagamenti in criptovalute. Le indagini sui flussi passano per exchange e intermediari stranieri, con gli strumenti descritti nella pagina sulle indagini sugli exchange esteri; quando i fondi vengono fatti transitare per servizi di offuscamento, entra in gioco il riciclaggio illustrato nella pagina su mixer e privacy coin.

Un'azienda colpita da ransomware deve denunciare l'attacco alla polizia?

Per un'impresa privata non esiste un obbligo penale generale di denuncia. L'art. 333 c.p.p. stabilisce che «ogni persona che ha notizia di un reato perseguibile di ufficio può farne denuncia» e che è la legge a determinare «i casi in cui la denuncia è obbligatoria». L'obbligo grava invece su pubblici ufficiali e incaricati di pubblico servizio, come illustra la pagina sull'omessa denuncia del pubblico ufficiale.

Denunciare resta in genere la scelta che tutela meglio l'impresa: documenta la posizione di vittima, consente di chiedere il sequestro dei fondi eventualmente rintracciati e di costituirsi parte civile. Per i reati procedibili a querela, come il danneggiamento di dati dell'art. 635-bis, la querela va proposta entro 3 mesi dalla notizia del fatto (art. 124 c.p.). Denuncia e querela si presentano al pubblico ministero o a un ufficiale di polizia giudiziaria, di regola alla Polizia postale.

Un attacco ransomware va notificato al Garante privacy?

Sì, quando comporta una violazione di dati personali che presenta rischi per gli interessati. L'art. 33 del Regolamento (UE) 2016/679 impone al titolare di notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza; oltre quel termine la notifica deve spiegare il ritardo. Dal 1° luglio 2021 la notifica si invia con la procedura telematica del Garante. Se il rischio è elevato, occorre informare anche le persone coinvolte (art. 34). Ogni violazione va comunque documentata internamente, anche quando non si notifica.

La prenotifica NIS2 deve indicare, ove possibile, se l'incidente è frutto di atti malevoli. I due canali sono distinti: notificare al CSIRT non sostituisce la notifica al Garante, e viceversa.

Pagare il riscatto può essere considerato finanziamento di un'organizzazione criminale?

La vittima che paga sotto costrizione non concorre, di regola, nel reato dell'estorsore: manca la volontà di contribuire all'attività del gruppo. Il rischio concreto riguarda due situazioni diverse.

• Destinatari colpiti da misure restrittive UE: mettere fondi a disposizione di persone o entità inserite negli elenchi delle sanzioni dell'Unione è vietato indipendentemente dalla finalità. Il tema è trattato nella pagina sulla violazione delle sanzioni UE. Prima di pagare occorre verificare, per quanto possibile, a chi sono riconducibili gli indirizzi indicati.
• Modalità del pagamento: acquistare criptovalute tramite canali che aggirano gli obblighi di identificazione o frazionare le operazioni per evitare controlli può attirare contestazioni autonome, anche a carico degli intermediari coinvolti.

L'amministratore che paga il riscatto con fondi aziendali rischia conseguenze penali?

Il rischio penale è circoscritto. L'infedeltà patrimoniale dell'art. 2634 c.c. punisce con la reclusione da 6 mesi a 3 anni gli amministratori che, avendo un interesse in conflitto con quello della società, compiono atti di disposizione dei beni sociali per procurare a sé o ad altri un ingiusto profitto, cagionando intenzionalmente un danno; si procede a querela della persona offesa. Un pagamento deciso per salvare l'operatività dell'impresa, senza interessi personali, non rientra nella fattispecie.

Più concreto è il rischio di responsabilità civile verso la società, se la decisione risulta presa senza istruttoria. Per questo conviene che il pagamento sia deliberato dall'organo competente, preceduto da una valutazione tecnica (esistenza di backup, affidabilità della decrittazione) e legale (sanzioni, notifiche) e documentato. Nelle società dotate di modello organizzativo, anche l'organismo di vigilanza va informato: sul suo ruolo si veda la pagina sull'organismo di vigilanza 231.

Cosa fare nelle prime ore dopo un attacco ransomware all'azienda?

Ogni contatto con gli autori dell'attacco va gestito secondo una strategia concordata con i consulenti e documentato: messaggi, indirizzi di pagamento e file ricevuti sono elementi di prova.

Le assicurazioni cyber possono rimborsare il riscatto pagato?

L'art. 12, comma 1, del Codice delle assicurazioni private (D.Lgs. 7 settembre 2005, n. 209) vieta le assicurazioni che trasferiscono il rischio di pagamento delle sanzioni amministrative e «quelle che riguardano il prezzo del riscatto in caso di sequestro di persona»; il contratto che viola il divieto è nullo. Il ransomware non è un sequestro di persona, per cui il divieto, letto alla lettera, non si estende al riscatto informatico. La copertura dipende quindi dal contratto: molte polizze cyber coprono i costi di ripristino, consulenza e gestione della crisi, mentre il rimborso del riscatto va verificato clausola per clausola.

Le sanzioni amministrative irrogate dal Garante o dall'autorità NIS2 restano in ogni caso non assicurabili, per espresso divieto dello stesso art. 12.

Gli altri profili penali delle tecnologie digitali sono raccolti nella sezione crypto, DeFi e reati informatici.