Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
L’articolo ripercorre l’evoluzione dei reati informatici in Italia dal 1990 ad oggi, analizzandone le trasformazioni giuridiche, le nuove fattispecie penali e le recenti norme sulla cybersicurezza, l’IA e la responsabilità amministrativa d’impresa. Vengono illustrate le innovazioni processuali, la gestione della prova digitale e le sfide poste dall’intelligenza artificiale nelle indagini. Si evidenzia infine l’importanza della compliance e dei modelli organizzativi per prevenire sanzioni e garantire la continuità operativa delle aziende.
Entrato nel 1990 come cultore di Informatica giuridica, diretta da Vittorio Frosini, ho vissuto in prima persona l’esordio di questa materia. All’epoca il dibattito era fondamentalmente di carattere criminologico con definizioni legate a quella area: computer crime, computer-related crime, Computerkriminalität. La ragione è che in quel periodo non vi era una disciplina di diritto positivo organica. La figura dell’autore veniva ricavata da categorie sociologiche per cui si narravano gesta di white-collar crime, perché le prime violazioni avvenivano nei centri di calcolo ad opera di tecnici ed esperti qualificati; o anche veniva “affibbiata” ad alcuni hacker la cosiddetta “sindrome di Robin Hood”, poiché molte condotte non erano mosse dal fine di lucro, ma dalla convinzione ideale che sottrarre informazioni al “ricco” sistema o alla grande azienda per condividerle con la rete non fosse un illecito. In molti parlavano di “criminalità dai calzoncini corti”, sottolineando come molti giovanissimi erano passati quasi senza rendersene conto dai primi giochi al computer a vere e proprie intrusioni telematiche.
Se analizzo la situazione ad oggi, riscontro una realtà ben diversa dove il fenomeno ha perso ogni sfumatura goliardica e libertaria, evolvendosi in forme di criminalità complessa e organizzata: dal profitto economico puro allo sfruttamento della prostituzione e violenza sessuale online, dal cyberstalking al cyber-terrorismo, fino ad arrivare alla mafia digitale e alla vera e propria cyber war, la guerra cibernetica tra Stati e grandi organizzazioni.
Da un punto di vista normativo un primo aggiornamento in chiave tecnologica del Codice penale avviene con la Legge 23 dicembre 1993, n. 547, che ha introdotto nel codice penale tanti nuovi reati tra cui l’accesso abusivo, le intercettazioni informatiche, la frode informatica, il danneggiamento informatico affiancandole ad altri già esistenti e, al verificarsi di certe condizioni applicabili anche al caso distorto dell’uso di tecnologie; pensiamo al reato di truffa ed a quello di diffamazione. Passaggio fondamentale è segnato dalla Legge 18 marzo 2008, n. 48 di ratifica della Convenzione di Budapest, la quale ha operato incisivamente su tre piani distinti.
Per quanto concerne il diritto positivo sostanziale, ha modificato alcune disposizioni precedentemente introdotte dalla Legge 547/1993 e ne ha introdotte di nuove. Sul piano del diritto processuale vengono previsti espressamente i specifici mezzi di ricerca della prova quali l’ispezione, la perquisizione e il sequestro informatico. Infine viene estesa per la prima volta ai delitti informatici la responsabilità amministrativa da reato dell’ente ai sensi del D.Lgs. 231/2001.Nel disciplinare l’intera materia legata all’abuso e sfruttamento sessuale dei minori il legislatore ha anche previsto numerose disposizioni che riguardano direttamente l’uso dello strumento informatico e telematico (L.269/1998,L.38/2006, L. 172/2012) , così come nel tempo sono state introdotte disposizioni per contrastare il cyber-terrorismo.
Oggi si registra un ampliamento di prospettiva della materia concentrata verso la protezione delle infrastrutture critiche del Paese. In quest’ottica si leggono il D.Lgs. 65/2018 (NIS 1), la Legge 133/2019 sul Perimetro di Sicurezza Nazionale Cibernetica – che ha introdotto reati propri di falso e omissione (art. 1, co. 11 D.L. 105/2019) per chi ostacola le attività ispettive – e l’istituzione dell’Agenzia per la Cybersicurezza Nazionale (L. 109/2021).Questo percorso giunge fino alla Legge sull’’IA (Legge 132/2025) e al D.Lgs. 160/2026 di adeguamento all’AI Act (Reg. UE 2024/1689). Questa disciplina introduce anche i reati di Illecita diffusione di contenuti manipolati tramite IA (art. 612-quater c.p.) e di Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ed alterazione illecita di tali sistemi (art. 437-bis c.p.)
Quando ho iniziato ad esercitare la professione l’acquisizione delle prove avveniva tramite rudimentali stampe cartacee di e-mail e file. La situazione cambia radicalmente, come già accennato, con la Legge 18 marzo 2008, n. 48 che introduce nel codice di procedura penale una gamma completa di mezzi per la ricerca e l’acquisizione della prova digitale
Nei processi che hanno a che fare con reati commessi attraverso le tecnologie, non solo i reati informatici, diventa fondamentale il ruolo del consulente tecnico, sia dell’accusa che della difesa. Ho sempre pensato che perché sia efficace, l’esperto non deve limitarsi a padroneggiare la materia informatica, ma deve possedere la capacità fondamentale di farsi capire dal giudice, traducendo concetti altamente specialistici in un linguaggio chiaro, semplice e giuridicamente efficace.
Se prendiamo questi ultimi anni, vediamo come anche la fase delle indagini si è evoluta con l’ingresso dell’intelligenza artificiale e della cooperazione internazionale. Si registra con il D.Lgs. 160/2026 una disciplina per il riconoscimento facciale a posteriori (art. 10) e l’ introduzione dell’art. 359-ter c.p.p. per l’identificazione biometrica remota in tempo reale nei reati gravi, ponendo l’uso di tali sistemi sotto il rigido controllo del GIP e vietando l’impiego di banche dati formate da scraping indifferenziato. Va aggiunto che il recepimento del “Pacchetto e-evidence” (D.Lgs. 215/2025 e 216/2025) permette oggi agli organi inquirenti di richiedere il congelamento e l’acquisizione transfrontaliera dei dati direttamente ai fornitori di servizi digitali tramite gli ordini europei, ovviando a quelle lungaggini temporali e complessità proprie della vecchia cooperazione internazionale.
Fino a pochi anni fa il reato informatico non veniva percepito, almeno apertamente, come un pericolo per le aziende. Quando nei primi anni 90 mi recai presso importanti imprese italiane per svolgere interviste da inserire della tesi di Dottorato , gli intervistati mi dicevano di non aver in alcun modo avvertito tali pericoli. Al di là del fatto che in alcuni casi si preferiva evitare di sbandierare un reato eventualmente subito per timore di una pubblicità negativa, all’epoca comunque non era prevista alcuna responsabilità diretta per l’impresa.
La situazione cambia quando la responsabilità amministrativa dell’ente prevista dal D.Lgs. 8 giugno 2001, n. 231 viene estesa dalla Legge 48/2008 alla quasi totalità dei delitti informatici (art. 24-bis D.Lgs. 231/01), poi integrata dalla L. 133/2019 per i reati legati al Perimetro di Sicurezza Nazionale Cibernetica e, da ultimo, dal D.Lgs. 160/2026 che ha inserito l’art. 25-vicies per i reati commessi tramite IA (comprese le sanzioni per l’art. 437-bis c.p. e per i deepfake ex art. 612-quater c.p.).
Poiché il Decreto prevede l’autonomia della responsabilità dell’ente , il serio rischio è rappresentato dal fatto che la società può rispondere anche quando l’autore materiale del reato non è stato identificato, cosa possibile in un contesto caratterizzato dall’anonimato della rete e dall’autonomia degli algoritmi.
Strada fondamentale per rispondere alla contestazione di una presunta responsabilità è quella di dotarsi preventivamente di Modello di Organizzazione, Gestione e Controllo (MOG 231) idoneo. Utile in tal senso è la formazione specialistica del personale, l’impiego di codici di condotta informatici e sull’uso in particolare dell’IA, una corretta attribuzione dei ruoli per evitare accuse di culpa in vigilando o in eligendo. Chiaramente vi deve essere un costante monitoraggio di un Organismo di Vigilanza (OdV) autonomo, in modo che sia chiaro che il Modello è effettivo e non solo sulla carta. La complessità in cui viviamo fa si che oggi questo sistema di compliance deve inevitabilmente saldarsi con la Direttiva NIS 2 (UE 2022/2555) per i soggetti “essenziali” e “importanti” e con le prescrizioni del GDPR. Se guardo indietro negli anni della mia professione e rivolgo lo sguardo allo scenario attuale non posso che registrare come sicurezza informatica e compliance non costituiscano più un adempimento formale, ma la condizione imprescindibile per la continuità operativa e la tutela dell’impresa sul mercato globale.
L’avvento dell’Intelligenza Artificiale fa si che va ripensato il procedimento penale sapendo che questa tecnologia può incidere profondamente nella prassi applicativa tanto “nel bene” quanto “nel male”. Non c’è dubbio che l’IA offra straordinarie opportunità preventive e investigative, potenziando l’analisi predittiva dei dati, la ricerca di tracce complesse e l’ausilio all’attività di intelligence e polizia giudiziaria. Parimenti, tuttavia, è innegabile che gli stessi strumenti algoritmici rischino di generare gravi insidie. Pensiamo alla proliferazione di condotte illecite sofisticate ,al pericolo di automatismi decisionali opachi, a bias discriminatori ed indebite compressioni delle garanzie difensive.
Calandoci nella fase delle indagini preliminari riscontro come la Polizia Giudiziaria e il Pubblico Ministero si trovano ad affrontare insidie strutturali sempre più complesse, la volatile evanescenza delle tracce, la diffusa schermatura dietro pseudonimi o VPN e la frequente asincronia temporale tra l’azione criminosa e la sua scoperta. Ecco perché a volte le indagini rischiano, ma questo non accade solo nelle indagini per crimini informatici, di incappare in percorsi contrassegnati da personalismi o in operazioni dal sapore prevalentemente simbolico – si pensi a talune campagne d’impatto mediatico nel contrasto alla pedopornografia online o al cyber-terrorismo – a fronte delle quali l’effettiva tenuta dibattimentale richiede ben altro rigore probatorio.
Tra i tanti problemi legati all’accertamento di reati realizzati di regola a distanza vi è quello dell’individuazione della giurisdizione, fondamentale per comprendere chi deve indagare e , successivamente, giudicare.Nell’architettura del nostro codice penale, fondata sul principio di territorialità (art. 3 c.p.) e sul criterio dell’ubiquità (art. 6 c.p.), la natura transfrontaliera di Internet genera continui cortocircuiti, specialmente quando la condotta prende le mosse da un Paese in cui il fatto non costituisce reato. A livello europeo, l’armonizzazione su intercettazioni telematiche (art. 266-bis c.p.p.), data retention e cooperazione tramite organismi di standardizzazione come l’IOCE (International Organisation of Computer Evidence) tenta faticosamente di contenere il fenomeno, ma la dimensione globale della rete continua a stridere con i confini della sovranità statale.
Quanto ai mezzi di ricerca della prova, dei quali già si è detto, importante a volte risultano gli strumenti di contrasto speciale, come l’impiego di “siti trappola” o agenti sotto copertura per la repressione della pedofilia telematica e del terrorismo internazionale. Di fronte alle tante insidie che possono riguardare tanto l’indagato che gli inquirenti, l’avvocato penalista e i suoi consulenti tecnici non possono limitarsi a un atteggiamento passivo, ma devono intervenire fin dalle prime battute per cristallizzare la prova a discarico, verificare la catena di custodia e contrastare eventuali forzature investigative.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.