La frode informatica (art. 640-ter c.p.)

La norma

L'articolo è stato introdotto nel 1993 (L. 547/1993) per colmare il vuoto della truffa, che richiede una persona indotta in errore: la macchina non si inganna, si manipola. Le due condotte alternative sono l'alterazione del funzionamento del sistema (modifica del software, dei parametri, dei dispositivi) e l'intervento senza diritto su dati, informazioni o programmi (inserimento, modifica, cancellazione, uso di dati con credenziali altrui). Serve l'evento tipico della truffa: ingiusto profitto per sé o per altri e danno per la vittima, che possono coincidere con il trasferimento di denaro ma anche con un vantaggio diverso (crediti di gioco, bonus, cancellazione di un debito). Il dolo è generico. Il reato si consuma quando il profitto è conseguito: per i bonifici, con l'accredito; se il trasferimento è bloccato, resta il tentativo. La Cassazione ripete che la frode informatica «ha la medesima struttura ed i medesimi elementi costitutivi della truffa, dalla quale si differenzia solamente perché l'attività fraudolenta dell'agente investe non la persona, di cui difetta l'induzione in errore, bensì il sistema informatico» (Cass. II 2346/2024, sul caso dei dipendenti che avevano individuato i biglietti vincenti manomettendo il gestionale della lotteria).

Le aggravanti e le pene

L'identità digitale è l'aggravante più contestata. La Cassazione la intende in senso ampio: non solo SPID e le identità validate dalla pubblica amministrazione, ma ogni insieme di credenziali che identifica un utente presso un sistema, anche privato; usare la chiavetta o le credenziali dell'home banking altrui per disporre bonifici integra il c. 3 (Cass. 13559/2024), e lo stesso vale per chi utilizza codici ottenuti da terzi (Cass. 14918/2026). Ne deriva che quasi ogni frode bancaria commessa con credenziali carpite è punita da due a sei anni, con arresto facoltativo e custodia cautelare possibile; la prescrizione base è di sei anni, sette e mezzo con le interruzioni. La L. 90/2024 sulla cybersicurezza non ha modificato le pene del 640-ter, ma ha inasprito i reati che di solito lo accompagnano: l'accesso abusivo aggravato (art. 615-ter c. 2) è passato da 2 a 10 anni, il danneggiamento di dati e sistemi a 2-6 anni, ed è stata estesa la confisca obbligatoria degli strumenti informatici e del profitto alla truffa a distanza (art. 240 c. 2 n. 1-bis); ha anche introdotto, per i reati informatici in senso stretto, le attenuanti della lieve entità e della collaborazione (art. 623-quater), che non si applicano però alla frode informatica.

Frode informatica, truffa, carte, accesso abusivo

La qualificazione corretta è il primo problema di ogni fascicolo, e cambia pena, procedibilità e termini. La regola pratica è chiedersi chi è stato ingannato. Se un essere umano ha compiuto l'atto di disposizione perché indotto in errore (il dipendente che paga la fattura sull'IBAN cambiato da una mail contraffatta, l'anziano che consegna i codici al finto operatore che poi glieli fa digitare, l'acquirente che paga un bene inesistente), il reato è la truffa dell'art. 640, aggravata dal n. 2-ter quando è commessa a distanza con strumenti idonei a ostacolare l'identificazione, e dal 2025 da due a sei anni se con approfittamento delle condizioni della vittima. Se nessuno è stato ingannato e l'agente ha operato direttamente sul sistema (accesso con credenziali carpite, malware che modifica il beneficiario del bonifico, SIM swap per intercettare gli OTP, alterazione di un gestionale), è frode informatica. Le due figure possono concorrere quando la stessa vicenda comprende un inganno alla persona e una manipolazione del sistema, ma di regola la Cassazione qualifica il phishing seguito dall'uso delle credenziali come 640-ter, perché il profitto deriva dall'intervento sui dati e non dalla consegna delle credenziali, che è solo l'antecedente. L'uso di una carta di credito o di pagamento altrui, o dei suoi dati, per pagare o prelevare è un reato autonomo, l'art. 493-ter (da 1 a 5 anni, d'ufficio, con confisca obbligatoria), che prevale sulla frode informatica per specialità quando l'operazione è compiuta con lo strumento di pagamento; se invece si entra nel conto e si dispone un bonifico, è 640-ter. L'accesso abusivo a un sistema protetto (art. 615-ter) concorre con la frode informatica, perché tutela un bene diverso, la riservatezza del domicilio informatico: chi entra nell'home banking altrui e trasferisce denaro risponde di entrambi. Completano il quadro l'art. 615-quater (detenzione e diffusione abusiva di codici di accesso, per chi vende o acquista credenziali), l'art. 640-quinquies (frode del certificatore di firma elettronica) e, per chi ricicla i proventi facendo transitare le somme sul proprio conto (money mule), il riciclaggio o l'autoriciclaggio, oppure la ricettazione.

Le forme più frequenti

Il phishing e le sue varianti (smishing via SMS, vishing telefonico) portano alla frode informatica quando le credenziali ottenute vengono usate per entrare nel conto: il messaggio con il link al sito clone, la telefonata del finto antifrode che «guida» la vittima a confermare un'operazione, l'app di controllo remoto installata con un pretesto. La SIM swap, cioè ottenere dall'operatore una nuova SIM con il numero della vittima per ricevere gli OTP, aggiunge la sostituzione di persona (art. 494) verso l'operatore. I malware bancari alterano la pagina dell'home banking o sostituiscono l'IBAN copiato negli appunti. Nelle aziende la frode informatica interna è il dipendente che modifica anagrafiche fornitori, crea pagamenti fittizi o altera il software di cassa; nella pubblica amministrazione, l'operatore che manomette le pratiche per erogare benefici. Nel gioco e nelle scommesse, l'alterazione dei terminali o dei software (il caso della lotteria deciso nel 2024). Nelle piattaforme, la manipolazione dei sistemi di reso e rimborso e l'uso di bug per ottenere crediti. Nelle criptovalute, la sottrazione di chiavi private e la manipolazione degli smart contract, con l'aggravante specifica del trasferimento di valuta virtuale.

Per la vittima

1. Bloccare subito: chiamare la banca, bloccare carte e accessi, cambiare le password, chiedere il richiamo del bonifico (recall) che riesce solo se i fondi non sono stati prelevati.
2. Denunciare alla Polizia postale o ai carabinieri con tutti gli elementi: messaggi, numeri, siti, IBAN di destinazione, orari, log delle operazioni; la denuncia è necessaria alla banca e all'assicurazione.
3. Chiedere il rimborso alla banca per le operazioni non autorizzate: il D.Lgs. 11/2010 impone il rimborso entro il giorno lavorativo successivo, salvo che l'intermediario provi la frode o la colpa grave del cliente; in caso di rifiuto, reclamo scritto e poi Arbitro bancario finanziario (operazioni non autorizzate).
4. Conservare le prove: screenshot con data, intestazioni delle mail, tabulati; non cancellare i messaggi.
5. Costituirsi parte civile nel processo penale contro gli autori identificati e i money mule, e valutare l'azione civile contro l'operatore telefonico o la banca per le carenze nei controlli.

Per chi è indagato

Le indagini partono dall'IBAN di destinazione, dagli indirizzi IP e dai dati dell'operatore telefonico; il primo indagato è spesso il titolare del conto su cui sono arrivate le somme, cioè il money mule, che a volte è a sua volta ingannato («lavoro da casa», «prestami il conto»). La difesa distingue tra chi ha organizzato la frode, chi ha prestato consapevolmente il conto (riciclaggio o concorso) e chi è stato usato senza sapere (nessun dolo, al più responsabilità civile). Sulla qualificazione, contestare l'aggravante dell'identità digitale quando le credenziali sono state consegnate spontaneamente dalla vittima e l'operazione compiuta con il suo intervento, perché in quel caso la fattispecie è la truffa e la procedibilità torna a querela nell'ipotesi base; verificare la prova del nesso tra l'accesso e il profitto; per gli importi minimi chiedere la tenuità del fatto; ripagare la vittima prima del giudizio per l'attenuante dell'art. 62 n. 6. Le pagine sulla truffa, sulla truffa online e sul furto di identità digitale completano il quadro dal lato delle vittime e delle altre fattispecie.