Essere coinvolti senza avere eseguito l’intrusione
Un attacco può utilizzare un server noleggiato, un account amministrato da un tecnico o uno spazio digitale messo a disposizione da un’altra persona. Quando gli investigatori risalgono all’intestatario, la domanda per chi viene indagato è concreta: viene contestata l’esecuzione dell’attacco oppure un contributo all’attività di altri? Le due ricostruzioni richiedono verifiche differenti, anche quando riguardano la stessa infrastruttura.
L’articolo 110 del codice penale consente di attribuire un reato a più persone che vi concorrono. Non occorre quindi che ciascuno abbia compiuto ogni operazione materiale. Questa regola, però, non trasforma l’intestazione di un contratto o la conoscenza dell’autore dell’attacco in una responsabilità automatica. Devono essere individuati il contributo contestato e gli elementi dai quali viene ricavata la partecipazione al fatto.
Quale contributo viene contestato
La fornitura deliberata di risorse utilizzate per un accesso abusivo, un danneggiamento o un’estorsione informatica può entrare nella ricostruzione del concorso. È necessario capire che cosa la persona avrebbe fatto: predisporre una risorsa su richiesta, consegnare credenziali, intervenire sulla configurazione oppure assicurare un servizio durante l’esecuzione dell’attacco. Una descrizione generica come “supporto tecnico” lascia aperte questioni essenziali.
Il reato principale deve essere identificato con precisione. Un accesso a un sistema protetto, la distribuzione di strumenti destinati all’intrusione e il blocco del funzionamento di un sistema hanno elementi diversi. La disponibilità dello stesso server può essere rilevante in tutte queste indagini, ma non dimostra indistintamente ogni fattispecie. Occorre collegare l’attività attribuita all’indagato all’episodio e alla norma effettivamente contestati.
La consapevolezza non coincide con il sospetto
Per i delitti dolosi, il ruolo materiale deve essere valutato insieme alla componente soggettiva. L’articolo 43 del codice penale distingue il dolo dalla colpa. Sapere di fornire una prestazione informatica non equivale, da solo, a volere partecipare a un attacco illecito. Anche il fatto che un servizio possa essere utilizzato impropriamente non identifica necessariamente la conoscenza del progetto criminoso concretamente realizzato.
La consapevolezza può essere ricostruita attraverso messaggi, istruzioni, pagamenti e comportamenti precedenti o contemporanei all’episodio. Questi elementi vanno letti integralmente: una richiesta di riservatezza può avere più significati; una modifica tecnica può rispondere a un incarico ordinario oppure a esigenze dell’attacco. La valutazione non si esaurisce nell’isolare parole ambigue dalla conversazione o nel giudicare retrospettivamente ogni intervento alla luce del risultato finale.
Intestatario, amministratore e utilizzatore effettivo
Un contratto di hosting identifica normalmente il soggetto che ha acquistato il servizio. Per ricostruire chi abbia eseguito una determinata operazione possono servire ulteriori dati: account impiegati, accessi amministrativi, dispositivi, indirizzi di collegamento e registrazioni del servizio. Il significato di ciascuna traccia dipende dall’organizzazione concreta. Un’infrastruttura può essere condivisa tra collaboratori oppure comprendere spazi gestiti autonomamente da clienti.
È utile verificare quali permessi avesse l’indagato e quali fossero stati concessi a terzi. La possibilità tecnica di intervenire non dimostra che l’intervento sia avvenuto. Al tempo stesso, dichiarare che altri possedevano le credenziali non chiude l’accertamento: la disponibilità alternativa deve essere confrontata con i dati acquisiti, con le regole di gestione e con le operazioni registrate nel periodo interessato.
La cronologia può distinguere attività diverse
Il momento della prestazione è spesso decisivo. Un server fornito mesi prima per un progetto lecito, una configurazione richiesta durante l’attacco e un intervento successivo alla scoperta del fatto appartengono a sequenze differenti. Il concorso non può essere ricostruito cancellando queste distinzioni. Anche eventuali condotte successive richiedono una propria qualificazione, senza presumere che dimostrino automaticamente un accordo anteriore.
La cronologia deve confrontare gli orari riportati nei diversi sistemi e i relativi fusi, oltre a distinguere la creazione di una registrazione dal momento dell’evento descritto. Una fattura documenta una prestazione, ma può non indicare chi abbia materialmente utilizzato la risorsa. Una conversazione successiva può spiegare un intervento precedente, purché venga esaminata nel suo contesto e senza attribuirle un contenuto che non possiede.
Documenti professionali e prova digitale
Contratti, ordini di lavoro, ticket di assistenza e indicazioni sui limiti dell’incarico possono chiarire l’origine della prestazione. Sono particolarmente utili quando permettono di confrontare ciò che era stato richiesto con ciò che è stato effettivamente fatto. La conservazione deve riguardare i documenti disponibili e le loro versioni originarie: ricostruire a posteriori un incarico come se fosse stato scritto prima introduce un problema ulteriore.
Sul piano tecnico, il consulente può verificare se le conclusioni investigative derivino da dati completi oppure da estratti. Un indirizzo di collegamento, un account o una registrazione isolata possono richiedere controlli sulle modalità di acquisizione e sulla corrispondenza temporale. L’articolo 192 del codice di procedura penale impone di motivare la valutazione della prova e, per gli indizi, richiede gravità, precisione e concordanza.
Preparare osservazioni sul fatto contestato
Dopo l’accesso agli atti, la difesa può distinguere i punti documentati dalle inferenze ancora da verificare. Nell’avviso di conclusione delle indagini previsto dall’articolo 415-bis c.p.p. sono indicate facoltà e termini per presentare memorie, produrre documenti e formulare richieste. Per chi è coinvolto come tecnico, una ricostruzione analitica dei singoli interventi può essere più utile di una generica affermazione di estraneità.
La responsabilità penale richiede infine l’accertamento personale del fatto, secondo la regola dell’articolo 533 c.p.p. sulla prova oltre ogni ragionevole dubbio. La verifica riguarda insieme l’utilità del contributo, la sua relazione con il reato e la partecipazione consapevole. Il nome sul contratto è un punto di partenza dell’indagine; l’attribuzione del concorso richiede una ricostruzione ulteriore, coerente con tutti i dati disponibili.
Per il quadro generale della materia, il sito contiene anche la guida sull’accesso abusivo a un sistema informatico.
Fonti normative e istituzionali
Art. 110 c.p. – Concorso di persone; Art. 43 c.p. – Elemento psicologico del reato; Art. 615-ter c.p. – Accesso abusivo; Art. 192 c.p.p.; Art. 415-bis c.p.p.; Art. 533 c.p.p.. Fonti consultate il 10 ottobre 2026.
Il contenuto ha finalità informativa. La valutazione della singola posizione richiede l’esame degli atti e delle circostanze concrete.
Informazioni e recapiti dello Studio
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania. Per informazioni sull’assistenza difensiva nei procedimenti penali: 095 9991325, 392 3838383 · davide@tutino.sicilia.it. Sede e informazioni professionali nella pagina dello Studio a Catania.
Revisione giuridica ed editoriale: 11 ottobre 2026.
