Massima
In materia di Frode Informatica (Phishing), la mera individuazione del titolare di Poste pay destinatario dell’accredito, in assenza di altri elementi fattuali dai quali far discendere la responsabilità del prevenuto, non integra il reato previsto e punito dall’articolo 640 ter del codice penale per mancanza di prova.
E’ dunque necessario l’accertamento relativo al soggetto responsabile dell’invio alla parte offesa, della e-mail contenente l’invito a utilizzare il link costituente la condotta di frode necessaria per acquisire i dati del conto della vittima.
(Cass. Sez. II Pen., Sent. 9 maggio 2019, n. 19839)
Massima a cura dell’Avvocato Davide Tutino, penalista in Catania, esperto in reati informatici
Testo della Sentenza
Testo della Sentenza 9 maggio 2019, n. 19839 della Corte di Cassazione, Sezione 2 penale
Per scaricare la Sentenza in formato PDF, fai click qui
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE SECONDA PENALE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. GALLO Domenico – Presidente
Dott. MANTOVANO Alfredo – rel. Consigliere
Dott. SGADARI Giuseppe – Consigliere
Dott. RECCHIONE Sandra – Consigliere
Dott. SARACO Antonio – Consigliere
ha pronunciato la seguente:
SENTENZA
sul ricorso proposto da:
PROCURATORE GENERALE PRESSO CORTE D’APPELLO DI GENOVA;
e dall’imputato, nel procedimento a carico di:
(OMISSIS), nato a (OMISSIS);
nel procedimento a carico di quest’ultimo;
avverso la sentenza del 21/06/2018 della CORTE APPELLO di GENOVA;
visti gli atti, il provvedimento impugnato e il ricorso;
udita la relazione svolta dal Consigliere Dott. MANTOVANO ALFREDO;
udito il Pubblico Ministero, in persona del Sostituto Procuratore Dott. ANIELLO ROBERTO, che ha concluso per l’inammissibilita’ di entrambi i ricorsi;
udito il difensore avvocato (OMISSIS), il quale si riporta ai motivi del ricorso e ne chiede l’accoglimento.
RITENUTO IN FATTO
La CORTE DI APPELLO di GENOVA, con sentenza in data 21/06/2018, confermava la sentenza del TRIBUNALE di GENOVA in data 21/10/2013, di condanna di (OMISSIS) a pena di giustizia per il delitto di cui all’articolo 640 ter c.p., essendo l’imputato intervenuto abusivamente sul conto corrente on line intestato a (OMISSIS), e avendo eseguito una ricarica di 500 Euro sulla carta prepagata a se’ intestata, a Genova il 15/02/2010. (OMISSIS) aveva ricevuto una mail che appariva inviata da Poste Italiane, con cui lo si invitata a cliccare su un link per fruire di un bonus, e a inserire a tal fine i dati della propria carta Poste pay, salvo a costatare dopo due giorni che sul suo conto vi era un addebito di 500 Euro mai autorizzato. Da una verifica della Polizia postale emergeva l’accredito di quell’importo sul Poste pay di (OMISSIS), tramite un IP russo gestito da una societa’ francese.
Propongono ricorso per cassazione (OMISSIS) e il PROCURATORE GENERALE della CORTE di APPELLO di GENOVA, chiedendo entrambi l’annullamento con rinvio per violazione di legge.
(OMISSIS) deduce come motivo, con riferimento all’articolo 606 c.p.p., comma 1, lettera b) ed e), l’insufficienza e la contraddittorieta’ della motivazione, poiche’ la CORTE territoriale avrebbe individuato una spiegazione alternativa a quella riportata dall’imputazione – e cioe’ che il ricorrente aveva consentito a che altri adoperassero la propria carta Poste pay – senza che le indagini abbiano accertato la provenienza della mail e l’autore della frode informatica.
Pure il PROCURATORE GENERALE della CORTE territoriale deduce come motivo, con riferimento all’articolo 606 c.p.p., comma 1, lettera b) ed e), l’insufficienza e la contraddittorieta’ della motivazione. Dopo aver espresso riserve sulla pertinenza della norma penale contestata a configurare la condotta descritta come illecita, la parte pubblica ricorrente ribadisce che le indagini si sono limitate a recepire la querela della parte offesa, a individuare il titolare di Poste pay destinatario dell’accredito, e a verificare se costui avesse a sua volta denunciato lo smarrimento o la sottrazione dei documenti necessari a operare sul conto a lui intestato. Se la motivazione della sentenza di primo grado e’ inesistente, per il P.G. la sentenza di appello ha costruito la responsabilita’ di (OMISSIS) in termini di concorso con altri non identificati, ipotizzando il consenso da lui prestato a che costoro utilizzassero il suo Poste pay, come prima riassunto.
E tuttavia per il P.G. manca la prova di cio’: ammesso che sia realmente avvenuta la cessione del proprio documento Poste pay ad altri, la sentenza di appello non spiegherebbe in che termini (OMISSIS) avrebbe aderito all’altrui attivita’ illecita e quale contributo causale avrebbe apportato. L’omissione di motivazione e l’illogicita’ di essa consisterebbe nell’avere dato per scontato che l’imputato avesse ceduto a terzi il proprio Poste pay senza prendere in considerazioni ipotesi alternative (per es., una cessione del proprio Poste pay a causa della tossicodipendenza nella quale versava), si’ che la condanna non avrebbe superato ogni ragionevole dubbio.
CONSIDERATO IN DIRITTO
La sentenza oggetto dei due distinti ricorsi va annullata con rinvio, poiche’ la sua motivazione viola la legge allorche’ non indica gli elementi fattuali dai quali far discendere la responsabilita’ di (OMISSIS) a titolo di concorso per il reato a lui contestato. Va invero constatata una rilevante carenza di motivazione sull’intera articolazione della condotta ritenuta illecita; gli elementi significativi sono la presenza sul conto corrente di (OMISSIS) della somma di 500 Euro sottratta al conto di (OMISSIS) e la mancata denuncia di smarrimento o di furto da parte dell’imputato del proprio Poste pay. Si tratta di dati obiettivi che avrebbero certamente legittimato – come e’ accaduto – l’avvio di una indagine a carico di (OMISSIS) ma, come ha sottolineato il P.G. ricorrente, essi non appaiono sufficienti a sostenere una motivazione di affermazione di responsabilita’: le indagini non hanno permesso di individuare chi abbia inviato alla parte offesa la mail contenente l’invito a utilizzare il link per il bonus, che in realta’ era il modo per acquisire i dati del conto della stessa. Il concorso di (OMISSIS) con terzi, sostenuto dalla pronuncia di appello, appare una semplice ipotesi, pur essa potenzialmente idonea a uno sviluppo di indagine, ma – in carenza di riscontri – destinata a restare una congettura, in se’ e quanto al contributo causale che l’imputato avrebbe fornito.
E’ in tal senso significativo non solo quanto statuito da Sez. U sentenza n. 45276 del 30/10/2003 dep. 24/11/2003) Rv. 226101-01 imputati Andreotti e altro, richiamato nel ricorso del P.G., ma anche Sez. 1 sentenza n. 4060 del 08/11/2007 dep. 25/01/2008 Rv. 239196-01 imputati Sommer e altri, secondo cui “in tema di concorso di persone nel reato, la circostanza che il contributo causale del concorrente morale possa manifestarsi attraverso forme differenziate e atipiche della condotta criminosa (istigazione o determinazione all’esecuzione del delitto, agevolazione alla sua preparazione o consumazione, rafforzamento del proposito criminoso di altro concorrente, mera adesione o autorizzazione o approvazione per rimuovere ogni ostacolo alla realizzazione di esso) non esime il giudice di merito dall’obbligo di motivare sulla prova dell’esistenza di una reale partecipazione nella fase ideativa o preparatoria del reato e di precisare sotto quale forma essa si sia manifestata, in rapporto di causalita’ efficiente con le attivita’ poste in essere dagli altri concorrenti, non potendosi confondere l’atipicita’ della condotta criminosa concorsuale, pur prevista dall’articolo 110 c.p., con l’indifferenza probatoria circa le forme concrete del suo manifestarsi nella realta’”.
Negli stessi termini Sez. 1 sentenza n. 5631 del 17/01/2008 dep. 05/02/2008 Rv. 238648-01 imputati Maccioni e altri, Sez. 1 sentenza n. 10730 del 18/02/2009 dep. 11/03/2009 Rv. 242849-01 imputati Puoti e altro (“In tema di concorso di persone nel reato, la circostanza che il contributo causale del concorrente possa manifestarsi attraverso forme differenziate e atipiche della condotta criminosa non esime il giudice di merito dall’obbligo di motivare sulla prova dell’esistenza di una reale partecipazione nella fase ideativa o preparatoria del reato e di precisare sotto quale forma essa si sia manifestata, in rapporto di causalita’ efficiente con le attivita’ poste in essere dagli altri concorrenti, non potendosi confondere l’atipicita’ della condotta criminosa concorsuale, pur prevista dall’articolo 110 c.p., con l’indifferenza probatoria circa le forme concrete del suo manifestarsi nella realta’.”) e Sez. 1 sentenza n. 7643 del 28/11/2014 dep. 19/02/2015 Rv. 262310-01 imputati Villacaro e altro.
Il giudice del rinvio e’ pertanto tenuto a riesaminare gli elementi in fatto dai quali far discendere la prova che (OMISSIS) abbia concorso con altri per la consumazione del delitto a lui contestato.
P.Q.M.
Annulla la sentenza impugnata e rinvia per un nuovo giudizio ad altra sezione della CORTE di APPELLO di GENOVA.
Cos’è la Frode Informatica
L’art. 640 ter del codice penale, è stato introdotto nel 1993, con la precisa finalità di disciplinare quei fenomeni criminali che si caratterizzano nell’uso distorto o nell’abuso della tecnologia informatica hardware e software.
Quindi la portata della norma è davvero ampia, poiché sono molteplici le condotte che potrebbero rientrare nella protezione della suddetta norma. Difatti, l’art. 640 ter, punisce tutte le ipotesi di ingiusto profitto ottenuto mediante l’impiego “alterato” o “senza diritto” di un sistema informatico o telematico.
Che cosa sono il phishing, vishing, smishing?
Sono tutti fenomeni che rappresentano le tipologie più comuni di frodi informatiche ed hanno in comune l’obiettivo che il criminale informatico si propone di raggiungere. Cioè l’ingiusto profitto. Cambia solo la modalità in cui il cyber-criminale cerca di ottenerlo.
Per quanto concerne il phishing:
E’ una forma di furto d’identità che trae origine dall’invio casuale di messaggi di posta elettronica che riproducono la grafica e i loghi ufficiali di siti aziendali o istituzionali come quelli postali o bancari, ad un elevato numero di destinatari .
Tali messaggi, di solito, segnalano all’utente presunti problemi tecnici relativi all’accesso al conto, inducendolo all’inserimento di password che autorizzano pagamenti o numeri di carte di credito.
Il Vishing invece è un’evoluzione del phishing. Il primo contatto avviene per e mail, chat o sms; non viene chiesto di cliccare su un link ma di chiamare un numero telefonico al quale risponderà un disco o un finto operatore del call center del proprio istituto di credito che chiederà di fornire i dati per accedere al conto corrente.
Il fenomeno chiamato Smishing, è secondo il mio parere, uno dei più pericolosi che si sta progressivamente diffondendo in rete. I criminali informatici di norma ingannano le vittime inducendole a scaricare dei malware che si installano automaticamente sul telefono. Questi malware potrebbero mascherarsi da applicazioni legittime, inducendo le persone a digitare informazioni confidenziali che vengono inviate ai cybercriminali.
