Ransomware, IPTV e bot AI: qualificazioni penali 2025

L’angolo: la legge 90/2024 risolve il problema del ransomware

Prima del 2024 i PM contestavano il ransomware con un concorso formale di reati — accesso abusivo, danneggiamento, estorsione ordinaria — che creava problemi probatori e di qualificazione. La legge 90/2024 ha introdotto una fattispecie specifica.

Il terzo comma dell’art. 629 c.p. punisce chiunque, mediante le condotte di cui agli artt. 615-ter, 617-quater, 617-sexies, 635-bis, 635-quater e 635-quinquies, ovvero con la minaccia di compierle, costringe taluno a fare o ad omettere qualche cosa, procurando a sé o ad altri un ingiusto profitto con altrui danno. La pena è la reclusione da sei a dodici anni e la multa da 5.000 a 10.000 euro.

Il rischio penale per chi paga il riscatto

Il pagamento del riscatto pone la vittima in una zona grigia.

Il pagamento del ransomware non può integrare, di per sé, un illecito penalmente rilevante. La vittima non commette il reato di estorsione subita. Ma i rischi emergono su due fronti:

Favoreggiamento (artt. 378-379): se il pagamento avviene con la consapevolezza di aiutare i responsabili a eludere le indagini, può configurarsi il favoreggiamento personale o reale. Il DDL 1441/2025 propone di vietare esplicitamente il pagamento per i soggetti nel Perimetro Nazionale Cibernetico.

Riciclaggio (art. 648-bis): se chi gestisce il pagamento — intermediario, consulente, società — muove i fondi attraverso canali che ne ostacolano la tracciabilità, risponde di riciclaggio. L’intermediario nelle trattative per il riscatto può rispondere di concorso nel reato di estorsione.

I bot autonomi AI: la frontiera aperta

I bot autonomi che compiono azioni illecite — scraping massiccio, truffe automatizzate, accesso a sistemi — non hanno soggettività penale. Il reato è sempre addebitato alla persona fisica che li ha programmati, configurati o azionati.

Le qualificazioni variano:

• bot che accede a sistemi protetti: art. 615-ter;
• bot che invia messaggi ingannevoli per indurre in errore: art. 640 o 640-ter;
• bot che pubblica messaggi diffamatori: art. 595;
• bot che aggrega dati personali senza autorizzazione: norme del GDPR con riflessi penali.

Il profilo difensivo più rilevante è il dolo: il programmatore o operatore deve aver voluto la condotta illecita specifica del bot, non solo programmato il comportamento generico. Un bug o una configurazione imprevista può escludere il dolo.

La pirateria IPTV: la legge 93/2023

La legge 93/2023 ha introdotto l’art. 174-ter della legge 633/1941: chiunque riceve o utilizza segnali audiovisivi codificati — trasmissioni televisive, eventi sportivi — senza autorizzazione del titolare dei diritti è punito con la reclusione fino a tre anni e la multa fino a 15.493 euro.

I gestori dei server IPTV illegali rispondono della fattispecie aggravata.

L’AGCOM ha poteri di blocco immediato dei siti e degli indirizzi IP: la procedura è veloce e può bloccare il servizio senza un’autorizzazione giudiziaria preventiva.

La difesa per l’utente finale lavora sulla distinzione tra:

• semplice utente abbonato (fattispecie più lieve);
• gestore del server o del servizio (fattispecie aggravata);
• rivenditore di abbonamenti (posizione intermedia, spesso contestata con il concorso).

La catena di custodia delle prove digitali

In tutti i procedimenti per reati informatici la catena di custodia (chain of custody) è il primo terreno di difesa. La prova digitale deve essere:

1. acquisita con strumenti forensi certificati (write blocker, hash SHA-256);
2. conservata in modo che non possa essere alterata;
3. documentata in ogni passaggio dalla raccolta al dibattimento.

Un’acquisizione non conforme — telefono non spento prima dell’estrazione, mancanza di hash, mancata documentazione della catena — può rendere inutilizzabile la prova. La perizia del consulente tecnico di parte è lo strumento per contestarla.

Il DDL 1441/2025 e i soggetti nel Perimetro Cibernetico

Il disegno di legge 1441/2025 — in corso di approvazione — introduce novità rilevanti per i soggetti che gestiscono infrastrutture critiche:

Divieto di pagamento del riscatto per i soggetti ricompresi nel Perimetro di Sicurezza Nazionale Cibernetica (PSNC). La violazione del divieto comporta una sanzione amministrativa e potenzialmente il reato di favoreggiamento se il pagamento avvantaggia i responsabili.

Obbligo di notifica degli incidenti informatici all’ACN entro 24 ore. La mancata notifica è già sanzionata dalla legge 90/2024; il DDL rafforza i poteri di accertamento.

Aggravanti per attacchi a infrastrutture critiche: energia, trasporti, sanità, finanza. La pena può aumentare fino a un terzo.

Per il difensore: quando l’azienda è nel PSNC, la strategia va valutata anche rispetto agli obblighi di notifica — che possono scontrarsi con il diritto al silenzio del procedimento penale.

Copyright e materiale didattico/editoriale

La violazione del diritto d’autore su materiale didattico — dispense, banche dati, libri di testo — è punita dall’art. 171 l. 633/1941 (multa e reclusione fino a un anno) e, se in forma organizzata e per profitto, dall’art. 171-ter (reclusione da uno a quattro anni).

La banca dati è tutelata dall’art. 102-bis l. 633/1941: il gestore ha un diritto sui generis che si aggiunge al diritto d’autore sulle singole opere. Chi scarica sistematicamente una banca dati può integrare l’art. 171-ter anche se i singoli file sono liberi.

La difesa lavora su: uso personale vs. distribuzione; finalità didattica senza scopo di lucro; e consistenza effettiva del danno patrimoniale, che incide sulla querela e sulla procedibilità.

Casi pratici

Caso 1 — azienda colpita da ransomware

Situazione. Azienda che ha pagato il riscatto in Bitcoin; PM che apre indagini sia contro i cybercriminali sia sull’azienda per il pagamento.

Attività svolta. Verifica del profilo di favoreggiamento nel pagamento, ricostruzione della catena decisionale interna, documentazione che il pagamento era l’unica alternativa alla perdita irreversibile dei dati.

Esito. Profilo penale del pagamento esaminato sull’elemento soggettivo e sull’assenza di volontà di favorire.

Caso 2 — abbonamento IPTV contestato

Situazione. Utente abbonato a servizio IPTV illegale, perquisizione domiciliare e sequestro del dispositivo.

Attività svolta. Verifica della qualificazione come semplice utente vs. rivenditore, analisi del numero di abbonamenti e di eventuali guadagni, contestazione della perquisizione sulla base della proporzionalità.

Esito. Posizione dell’utente differenziata da quella del gestore del servizio.

Caso 3 — bot scraper contestato

Situazione. Sviluppatore contestato per accesso abusivo ex 615-ter per un bot di web scraping.

Attività svolta. Verifica se il sistema era protetto da misure di sicurezza idonee (necessario per il 615-ter), analisi del dolo specifico richiesto dalla norma, distinzione tra scraping lecito e abusivo.

Esito. Profilo di accesso abusivo esaminato sulla presenza di misure di protezione effettive.

Dove si costruisce la difesa

1. Ransomware: attribuzione e catena di custodia prima di tutto.
2. Pagamento riscatto: dolo specifico nel favoreggiamento — non ogni pagamento è reato.
3. Bot AI: dolo dell’operatore umano sulla condotta specifica del bot.
4. IPTV: utente vs. gestore vs. rivenditore — posizioni molto diverse.
5. Prove digitali: hash, write blocker, documentazione della catena.
6. Consulente informatico forense: indispensabile in tutti questi procedimenti.

Per i procedimenti più complessi — attacchi ransomware a grandi aziende, reti IPTV con migliaia di utenti, operazioni di scraping su scala industriale — la cooperazione giudiziaria internazionale è la regola, non l’eccezione. Europol, Interpol e l’FBI coordinano le operazioni: le prove vengono acquisite in più paesi, e la difesa deve verificare la catena di custodia per ogni passaggio transfrontaliero. Un’acquisizione eseguita senza rogatoria o con modalità non conformi alla legge del paese in cui è avvenuta può essere inutilizzabile nel processo italiano.

Una nota finale sulla consulenza preventiva: molte aziende si rivolgono all’avvocato penalista solo dopo l’attacco. Ma la fase preventiva — protocolli di incident response, verifica degli obblighi di notifica, formazione dei responsabili IT sulla gestione delle prove — è quella in cui il lavoro produce più valore e la posizione processuale è ancora intatta. Chi ha già deciso se e come pagare, già comunicato con gli aggressori e già ripristinato i sistemi sovrascrivendo le prove, ha ristretto significativamente le opzioni difensive.

L’avvocato che entra nel momento dell’attacco, prima che le decisioni operative siano prese, può orientare il comportamento dell’azienda in modo coerente con la difesa processuale futura. . Nelle fasi di indagine, la collaborazione con l’ACN e con la Polizia Postale è spesso nell’interesse dell’azienda vittima.

Camcording: registrazione abusiva in sala cinematografica

L’art. 171-ter legge 633/1941 (diritto d’autore) punisce chi fissa o riproduce in sala cinematografica contenuti audiovisivi senza autorizzazione: reclusione da uno a quattro anni e multa.

Non è necessario che il materiale sia poi distribuito: la sola ripresa in sala integra il reato. Basta il dispositivo acceso in sala durante la proiezione.

La difesa lavora sull’elemento psicologico: era consapevole che stava registrando un’opera protetta? E sulla configurazione del dispositivo: stava effettivamente registrando o si trattava di un’altra funzione del telefono?

Il camcording professionale — gruppi organizzati che registrano e distribuiscono online — integra anche la truffa aggravata e il riciclaggio dei proventi. Le indagini coinvolgono la Guardia di Finanza e la Procura specializzata in diritti di proprietà intellettuale.