La parola ransomware non identifica da sola il reato
Per chi viene indagato, un’accusa legata a un ransomware può comprendere l’intrusione iniziale, il blocco dei dati e la richiesta di denaro. Sono passaggi collegati, ma ciascuno presenta questioni proprie. L’etichetta tecnica dell’attacco non sostituisce la descrizione della condotta attribuita alla singola persona, né chiarisce da sola quali reati si ritengano commessi.
Una sequenza frequente consiste nel rendere indisponibili i file attraverso la cifratura e nel chiedere un pagamento per ripristinarne l’accesso. In altri episodi la pressione riguarda anche dati sottratti o la prospettazione di ulteriori attacchi. La ricostruzione penale deve partire dalle operazioni effettivamente documentate e dal contenuto delle richieste ricevute dalla persona offesa, senza presumere che ogni incidente informatico segua lo stesso schema.
La specifica estorsione introdotta nel 2024
La legge 90 del 2024 ha inserito nell’articolo 629 del codice penale un terzo comma dedicato a determinate condotte informatiche. La norma riguarda chi, mediante i fatti indicati negli articoli 615-ter, 617-quater, 617-sexies, 635-bis, 635-quater e 635-quinquies, oppure minacciando di compierli, costringe qualcuno a fare o omettere qualcosa e procura a sé o ad altri un ingiusto profitto con altrui danno.
La pena prevista è la reclusione da sei a dodici anni e la multa da 5.000 a 10.000 euro. Sale a otto-ventidue anni e alla multa da 6.000 a 18.000 euro quando ricorrono le circostanze richiamate dall’articolo 628, terzo comma, oppure quando la persona offesa è incapace per età o infermità. Questi dati rendono essenziale verificare sia la fattispecie applicata sia le eventuali aggravanti concretamente contestate.
La data del fatto conta
La nuova disposizione è entrata in vigore il 17 luglio 2024. Per episodi precedenti occorre applicare le regole dell’articolo 2 del codice penale sulla successione delle leggi: una disciplina successiva più severa non può essere trasferita automaticamente a fatti anteriori. Ciò non significa che le estorsioni realizzate mediante strumenti informatici prima della riforma fossero prive di rilevanza penale.
Quando l’attacco e le richieste si collocano in giorni diversi, il problema temporale richiede una ricostruzione precisa. La data di scoperta dell’incidente, quella della denuncia e quella del pagamento possono non coincidere con i momenti giuridicamente rilevanti. L’imputazione e gli atti devono permettere di comprendere quale episodio sia contestato e quando si ritenga realizzato.
Danno ai dati e danno al sistema
Il blocco informatico può porre anche questioni di danneggiamento. L’articolo 635-bis riguarda informazioni, dati e programmi altrui; l’articolo 635-quater riguarda la distruzione, il danneggiamento, l’inservibilità del sistema oppure il grave ostacolo al suo funzionamento attraverso le condotte previste dalla norma. Per i dati e programmi di interesse pubblico e per i sistemi di pubblico interesse operano specifiche disposizioni.
La distinzione richiede riscontri sull’effetto prodotto. La presenza di una nota di riscatto non dimostra da sola quali dati siano stati alterati, per quanto tempo un servizio sia rimasto indisponibile o quali componenti siano state colpite. Anche il rapporto tra le diverse contestazioni deve essere esaminato sul fatto concreto: non si può ricavare dal solo nome del malware una somma prestabilita di reati e pene.
Costrizione, profitto e tentativo
Per l’estorsione occorre ricostruire la pressione esercitata sulla persona offesa, ciò che le veniva richiesto e il profitto ingiusto con il correlativo danno. Il messaggio deve essere acquisito nella sua forma disponibile, insieme agli eventuali scambi successivi. Un importo indicato in un file e un pagamento effettivamente eseguito sono elementi diversi; anche il soggetto che riceve il denaro va distinto da chi formula la richiesta.
Se il profitto non viene conseguito, può porsi il tema del tentativo. L’articolo 56 c.p. richiede atti idonei diretti in modo non equivoco a commettere il delitto. Il rifiuto del pagamento non elimina quindi automaticamente ogni possibile contestazione. Viceversa, il solo possesso di un programma dannoso non dimostra che siano già stati compiuti atti corrispondenti a una specifica estorsione tentata.
Il ruolo personale nella sequenza dell’attacco
L’indagato può essere ritenuto autore dell’intrusione, sviluppatore del programma, gestore dell’infrastruttura oppure destinatario di una parte del pagamento. Questi ruoli non sono intercambiabili. La difesa deve individuare quale contributo viene attribuito e attraverso quali dati si ritiene dimostrata la partecipazione consapevole alla condotta estorsiva. L’esistenza di un’organizzazione tecnica non consente di assegnare indistintamente a tutti ogni azione.
Le registrazioni di rete, le conversazioni e i dati relativi ai trasferimenti possono collegare operazioni tra loro, ma l’attribuzione alla persona richiede verifiche ulteriori. Il consulente può confrontare account, orari e dispositivi, esaminando anche l’eventuale accesso di terzi. La disponibilità di una risorsa digitale e la prova di averla usata per quel particolare attacco rimangono questioni da documentare separatamente.
Conservare il materiale utile all’accertamento
Le analisi possono cambiare quando vengono disponibili copie complete dei sistemi, registrazioni del servizio e versioni originali dei messaggi. Occorre distinguere i dati acquisiti durante l’incidente da quelli generati dopo il ripristino. L’assenza di una traccia può dipendere dalla mancata conservazione, mentre una registrazione apparentemente anomala può essere spiegata da attività di manutenzione documentate: entrambe le ipotesi richiedono riscontri.
Per l’indagato, il lavoro sugli atti consiste nel collegare ogni contestazione a un’operazione, un effetto e un elemento soggettivo. La riforma ha previsto una specifica estorsione informatica, ma non ha eliminato la necessità di provare il fatto e la responsabilità individuale. La lettura coordinata dei dati tecnici e dei messaggi serve a verificare quella ricostruzione, compresi i punti che rimangono incerti.
Per il quadro generale della materia, il sito contiene anche la guida sull’accesso abusivo a un sistema informatico.
Fonti normative e istituzionali
Art. 629 c.p. – Estorsione; Art. 2 c.p. – Successione di leggi penali; Art. 56 c.p. – Delitto tentato; Art. 635-bis c.p. – Danneggiamento di dati; Art. 635-ter c.p. – Dati pubblici o di interesse pubblico; Art. 635-quater c.p. – Danneggiamento di sistemi; Art. 635-quinquies c.p. – Sistemi di pubblico interesse; Legge 90/2024, art. 16 – Modifiche al codice penale; Sistema di informazione per la sicurezza della Repubblica – Ransomware. Fonti consultate il 10 ottobre 2026.
Il contenuto ha finalità informativa. La valutazione della singola posizione richiede l’esame degli atti e delle circostanze concrete.
Informazioni e recapiti dello Studio
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania. Per informazioni sull’assistenza difensiva nei procedimenti penali: 095 9991325, 392 3838383 · davide@tutino.sicilia.it. Sede e informazioni professionali nella pagina dello Studio a Catania.
Revisione giuridica ed editoriale: 11 ottobre 2026.
