Credenziali e malware: che cosa resta dopo il 2024
La legge 90 del 2024 ha abrogato l'art. 615-quinquies, ricollocandone il contenuto nel nuovo art. 635-quater.1, e ha modificato l'art. 615-quater. Chi lavora su materiale anteriore al luglio 2024 rischia di invocare una norma che non esiste più, o di ignorare le pene rafforzate.
L’angolo di questa materia: una norma che non esiste più
Chi affronta oggi una contestazione in materia di strumenti informatici illeciti deve compiere una verifica preliminare che riguarda l’esistenza stessa della norma invocata.
L’art. 615-quinquies è stato abrogato dall’art. 16 comma 1 lettera d) della legge 28 giugno 2024 n. 90, con ricollocazione del contenuto nell’art. 635-quater.1.
Ne discende che ogni riferimento a quella disposizione — in un capo di imputazione, in un modello organizzativo, in una consulenza — va verificato sulla data del fatto e sulla disciplina applicabile.
Che cosa ha fatto la legge 90 del 2024 su questo blocco
L’intervento è stato organico e ha riguardato cinque articoli:
| Norma | Intervento |
|---|---|
| 615-ter — accesso abusivo | Modificato |
| 615-quater — codici di accesso | Modificato, con nuovo comma dopo il secondo |
| 615-quinquies — programmi dannosi | Abrogato, ricollocato nel 635-quater.1 |
| 617-quater — intercettazione informatica | Modificato |
| 617-quinquies — apparecchiature di intercettazione | Modificato |
| 617-sexies — falsificazione di comunicazioni | Modificato |
E ha introdotto due elementi trasversali:
- il rafforzamento delle pene per i reati di detenzione e diffusione abusiva di apparecchiature e programmi;
- una nuova circostanza attenuante per chi collabora con l’autorità.
L’ultima merita di essere valutata presto in ogni procedimento: è uno strumento introdotto proprio per questa materia, e richiede una condotta attiva.
L’art. 615-quater: i codici di accesso
La norma punisce la detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi informatici o telematici.
Che cosa rientra e che cosa no
| Condotta | Esito |
|---|---|
| Procurarsi il numero seriale di un cellulare altrui per clonarlo | Dentro |
| Ricevere codici di carte di credito scaricati da terzi e inserirli in carte clonate | Dentro — non è ricettazione |
| Acquistare un cellulare già clonato a fini di profitto | Ricettazione, con il 615-quater come reato presupposto |
| Possedere un decodificatore di segnali satellitari e schede | Fuori |
La seconda e la terza riga vanno lette insieme, perché la distinzione è sottile e determina la qualificazione.
Chi riceve i codici e li inserisce in carte clonate risponde del 615-quater, non di ricettazione: la condotta è quella tipica della detenzione abusiva di mezzi di accesso.
Chi acquista consapevolmente un apparecchio già predisposto risponde invece di ricettazione, e il 615-quater ne costituisce reato presupposto.
Ne discende una verifica sul momento in cui l’assistito è intervenuto nella catena: procurarsi i codici e utilizzarli è cosa diversa dall’acquistare il prodotto finito.
La clonazione e il sistema telematico protetto
Il principio ha portata generale e va conosciuto.
Integra il reato dell’art. 615-quater la condotta di chi si procuri abusivamente il numero seriale di un apparecchio telefonico cellulare appartenente ad altro soggetto, poiché attraverso la corrispondente modifica del codice di un ulteriore apparecchio — la cosiddetta clonazione — è possibile realizzare una illecita connessione alla rete di telefonia mobile.
Quella rete costituisce un sistema telematico protetto, anche con riferimento alle banche dati concernenti i dati esteriori delle comunicazioni, gestite mediante tecnologie informatiche.
Che cosa puniva il 615-quinquies, e dove è finito
Il testo abrogato puniva chi — allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti o a esso pertinenti, ovvero di favorire l’interruzione, totale o parziale, o l’alterazione del suo funzionamento — abusivamente:
si procurava, deteneva, produceva, riproduceva, importava, diffondeva, comunicava, consegnava o comunque metteva a disposizione di altri, o installava, apparecchiature, dispositivi o programmi informatici.
La funzione prodromica, e il dolo specifico
La norma puniva una condotta prodromica alla commissione del delitto di accesso abusivo dell’art. 615-ter, sanzionando la detenzione o messa a disposizione di apparecchiature in grado di infrangere i presidi posti a tutela del «domicilio informatico altrui».
Era ad ogni modo richiesto il dolo specifico, costituito dal fine di danneggiare o di permettere il danneggiamento, o comunque il non funzionamento — anche temporaneo — di un sistema informatico.
È l’elemento che, oggi come allora, separa la detenzione lecita di strumenti tecnici da quella penalmente rilevante: chi opera nella sicurezza informatica detiene abitualmente software in grado di compromettere sistemi.
Ne discende l’indicazione operativa: documentare la finalità dell’attività — incarichi, perimetri autorizzati, protocolli di testing — è ciò che rende verificabile l’assenza del dolo specifico. E va fatto prima, non dopo la contestazione.
Per «sistema informatico» va inteso un insieme di apparecchiature destinate a compiere una funzione utile all’uomo attraverso il ricorso a tecnologie informatiche.
L’art. 617-sexies
Punisce la falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche.
Anch’esso è stato inciso dalla legge 90 del 2024, nell’ambito dell’intervento organico. Completa il blocco delle norme che tutelano le comunicazioni: il 617-quater colpisce la captazione, il 617-quinquies le apparecchiature, il 617-sexies il contenuto.
Ne discende che, in una vicenda complessa, le tre norme possono trovare applicazione su momenti distinti della medesima operazione.
Il diritto di difesa non scrimina, salvo un caso
È un principio che riguarda chi acquisisce dati per un giudizio, e va conosciuto perché la tentazione è frequente.
Non configura la scriminante dell’esercizio del diritto di difesa l’ingresso non autorizzato a un sistema informatico protetto per carpire dati utili alla difesa in giudizio — tranne che siffatta condotta non costituisca l’unico mezzo per ottenere il risultato difensivo.
L’eccezione è stretta, e va dimostrata: occorre provare che non esistessero strumenti processuali alternativi — ordini di esibizione, richieste istruttorie, sequestri — per acquisire quegli elementi.
È lo stesso criterio affermato in materia di violazione di corrispondenza, dove la Cassazione ha negato che la necessità difensiva giustifichi la violazione del segreto altrui, esistendo l’ordine di esibizione.
La posizione dell’ente
I delitti degli artt. 615-quater e 615-quinquies erano — e il successore del secondo resta — reati presupposto della responsabilità degli enti ai sensi dell’art. 24-bis del d.lgs. 231/2001.
Ne discende che i modelli di organizzazione e gestione che richiamino l’art. 615-quinquies rinviano a una norma abrogata, e vanno aggiornati con il riferimento al 635-quater.1.
È aggiornamento formale con conseguenza sostanziale: l’idoneità del modello si valuta anche sulla sua attualità rispetto al quadro normativo.
Casi pratici
Caso 1 — norma applicabile
Situazione. Capo di imputazione che richiama l’art. 615-quinquies per fatto successivo al luglio 2024.
Attività svolta. Verifica dell’avvenuta abrogazione della disposizione e della ricollocazione del contenuto nell’art. 635-quater.1, con esame della disciplina applicabile alla data del fatto.
Esito. Norma applicabile individuata sulla successione di leggi.
Caso 2 — posizione nella catena
Situazione. Contestazione relativa a dispositivi predisposti per l’accesso abusivo.
Attività svolta. Ricostruzione del momento e delle modalità dell’intervento dell’assistito, ai fini della distinzione fra detenzione abusiva di mezzi di accesso e ricettazione del prodotto finito.
Esito. Qualificazione esaminata sulla posizione occupata nella sequenza dei fatti.
Caso 3 — dolo specifico e attività professionale
Situazione. Detenzione di software in grado di compromettere sistemi da parte di operatore del settore sicurezza.
Attività svolta. Produzione degli incarichi, dei perimetri autorizzati e dei protocolli di testing, ai fini della verifica del fine di danneggiare.
Esito. Elemento soggettivo esaminato su documentazione preesistente al fatto.
Caso 4 — esito sfavorevole
Situazione. Accesso a sistema protetto per acquisire elementi utili a un giudizio civile.
Attività svolta. Nessuna deduzione sull’esistenza di strumenti processuali alternativi.
Esito. Il diritto di difesa non scrimina, salvo che la condotta costituisca l’unico mezzo per ottenere il risultato difensivo. La lezione: l’eccezione richiede la prova dell’assenza di alternative, non la loro maggiore difficoltà.
I casi sono resi anonimi e descrivono attività svolte, non risultati promessi: l’esito dipende dagli atti del singolo procedimento.
Dove si costruisce la difesa
- Norma vigente: il 615-quinquies è abrogato dal luglio 2024.
- Data del fatto: determina l’applicabilità della disciplina previgente.
- Posizione: detenzione di mezzi di accesso o acquisto del prodotto finito?
- Dolo specifico: il fine di danneggiare è provato, o si tratta di attività professionale documentata?
- Oggetto: rientra fra i mezzi «atti all’accesso», o resta fuori come i decoder?
- Attenuante: la collaborazione con l’autorità è stata introdotta proprio per questa materia.
- Ente: i modelli che richiamano il 615-quinquies vanno aggiornati.
Il primo punto va verificato prima di ogni altro, ed è la ragione per cui in questa materia il materiale di consultazione va sempre datato: una norma abrogata continua a comparire in gran parte delle fonti in circolazione.
Domande frequenti
L'art. 615-quinquies è ancora in vigore?
No. È stato abrogato dall'art. 16 comma 1 lettera d) della legge 28 giugno 2024 n. 90, con ricollocazione del contenuto nell'art. 635-quater.1. Chi consulta materiale anteriore al luglio 2024 rischia di invocare una disposizione non più esistente.
Che cosa puniva?
Chi, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti, ovvero di favorire l'interruzione o l'alterazione del suo funzionamento, abusivamente si procurava, deteneva, produceva, importava, diffondeva, consegnava o installava apparecchiature, dispositivi o programmi informatici.
Che cosa punisce l'art. 615-quater?
La detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all'accesso a sistemi informatici o telematici. La norma è stata modificata dall'art. 16 comma 1 lettera c) della legge 90 del 2024, che ha altresì introdotto un comma dopo il secondo.
Qual è la funzione di queste norme?
Punire condotte prodromiche. L'art. 615-quinquies sanzionava la detenzione o messa a disposizione di apparecchiature in grado di infrangere i presidi posti a tutela del «domicilio informatico altrui»: la tutela è anticipata rispetto all'accesso abusivo dell'art. 615-ter.
Serve un dolo particolare?
Sì, il dolo specifico: per il 615-quinquies era costituito dal fine di danneggiare o di permettere il danneggiamento, o comunque il non funzionamento anche temporaneo di un sistema informatico. È l'elemento che distingue la detenzione lecita di strumenti tecnici da quella penalmente rilevante.
Clonare un cellulare che reato integra?
Integra l'art. 615-quater la condotta di chi si procuri abusivamente il numero seriale di un apparecchio telefonico altrui, poiché attraverso la corrispondente modifica del codice di un ulteriore apparecchio — la clonazione — è possibile realizzare una illecita connessione alla rete di telefonia mobile, che costituisce sistema telematico protetto.
E chi acquista il telefono clonato?
Risponde di ricettazione. L'acquisto consapevole a fini di profitto di un telefono cellulare predisposto per l'accesso alla rete mediante i codici di altro utente integra il delitto dell'art. 648, del quale costituisce reato presupposto quello dell'art. 615-quater.
Ricevere codici di carte di credito è ricettazione?
No. Integra il reato dell'art. 615-quater — e non quello di ricettazione — la condotta di chi riceve i codici di carte di credito abusivamente scaricati dal sistema informatico ad opera di terzi e li inserisce in carte clonate, poi utilizzate per il prelievo di contante attraverso il sistema bancomat.
Il decoder satellitare rientra?
No. Non configura il reato dell'art. 615-quater il possesso di un decodificatore di segnali satellitari e di schede per la ricezione degli stessi. È esclusione che delimita l'ambito applicativo verso i dispositivi di ricezione.
Che cosa ha cambiato la legge 90 del 2024?
Quattro cose. L'abrogazione del 615-quinquies con ricollocazione nel 635-quater.1; il rafforzamento delle pene per i reati di detenzione e diffusione abusiva di apparecchiature e programmi; una nuova circostanza attenuante per chi collabora con l'autorità; e modifiche agli artt. 615-ter, 615-quater, 617-quater, 617-quinquies e 617-sexies.
Che cos'è l'art. 617-sexies?
Punisce la falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche. Anch'esso è stato inciso dalla legge 90 del 2024, nell'ambito dell'intervento organico sui reati informatici.
Il diritto di difesa giustifica l'accesso?
Solo in un caso limite. Non configura la scriminante dell'esercizio del diritto di difesa l'ingresso non autorizzato a un sistema informatico protetto per carpire dati utili alla difesa in giudizio — tranne che siffatta condotta non costituisca l'unico mezzo per ottenere il risultato difensivo.
Guide correlate
- Disastri: quando il pericolo si presume e quando no Per inondazione e frana il pericolo è presunto dalla legge; per il disastro innominato va provato in concreto. È la differenza che decide questi processi.
- Danneggiamento informatico: dal 2024 fino a 6 anni La legge 90/2024 ha portato la pena da sei mesi-tre anni a due-sei. La data del fatto decide, e per i software dual-use conta l'abusività della condotta.
- Art. 617-quater: la frode serve solo per intercettare Il requisito della fraudolenza riguarda la sola intercettazione: impedire o interrompere comunicazioni non lo richiede. E dal 2024 il minimo è salito.
- Reati informatici e cybercrime: la difesa Reati informatici: si accede abusivamente anche con credenziali valide, e un indirizzo IP da solo non identifica una persona.
- Art. 616: «chiusa» vale solo per la prima condotta Prendere cognizione richiede corrispondenza chiusa; sottrarre e distruggere no. E il regolamento aziendale può togliere quella qualifica alla posta.
- Art. 617-bis: intercettare sé stessi non è reato La norma richiede comunicazioni «tra altre persone»: il jammer usato per proteggere le proprie conversazioni non integra il delitto. E basta l'installazione.