Pagare il riscatto del ransomware è reato?
Risposta breve
In linea generale no — la vittima che paga non commette il reato di estorsione. Ma emergono rischi specifici: favoreggiamento (artt. 378-379) se il pagamento aiuta i responsabili a eludere le indagini; riciclaggio (art. 648-bis) se il pagamento avviene attraverso canali che ostacolano la tracciabilità.
Il DDL 1441/2025 — ancora in iter parlamentare — introduce il divieto di pagamento per i soggetti nel Perimetro di Sicurezza Nazionale Cibernetica (PSNC). La violazione del divieto comporta sanzione amministrativa e potenzialmente la contestazione penale.
Il rischio di favoreggiamento
Il pagamento tramite intermediario che negozia con i criminali può configurare il concorso in estorsione se l’intermediario partecipa alla trattativa non solo nell’interesse della vittima ma anche facilitando i responsabili. Il confine è sottile e va valutato caso per caso.
Come ridurre i rischi prima di pagare
- Consultare l’avvocato penalista prima di qualsiasi pagamento o trattativa;
- Non cancellare le prove — i log, i file cifrati, le comunicazioni degli attaccanti;
- Notificare l’ACN entro 24 ore se soggetti agli obblighi della l. 90/2024;
- Documentare tutto il processo decisionale (riunioni, delibere, consulenze);
- Valutare la denuncia — non denuncia non equivale a sicurezza, anzi può complicare la posizione se le indagini vengono avviate d’ufficio.