Il riciclaggio di denaro nel cyberspace: nuove sfide per la sicurezza

Il riciclaggio di denaro nel cyberspace è un fenomeno in crescita, con la digitalizzazione delle banche e la nascita delle monete virtuali. Le autorità stanno combattendo questo fenomeno con nuove leggi e tecnologie

Quando ho iniziato ad occuparmi come avvocato di diritto penale, circa trentacinque anni fa, il mondo del riciclaggio di denaro era ben diverso da quello attuale. Oggi, ed è il motivo per cui spesso me ne occupo professionalmente, la consolidata digitalizzazione delle banche e la nascita delle monete virtuali hanno dato vita al cyber-laundering, per cui è possibile spostare ricchezze telematicamente in pochi secondi.

Come sovente capita nel digitale, non cambiano gli obiettivi, ma le modalità attraverso le quali gli stessi si perseguono. Al pari del passato chi ricicla denaro sporco ha la necessità di cancellare la traccia dei soldi per impedirne la ricostruzione, il cosiddetto paper trail. Nel cyberspace, tuttavia, questo risultato è agevolato dal fatto che le leggi cambiano da Stato a Stato e che la tecnologia offre canali sicuri per nascondersi. Si tratta di un fenomeno di dimensioni enormi se consideriamo che l’’Unità di Informazione Finanziaria (UIF) stima che in Italia il valore del riciclaggio oscilli tra l’1,5% e il 2% del PIL, muovendo una cifra compresa tra i 25 e i 35 miliardi di euro ogni anno.

La portata del fenomeno è palpabile anche semplicemente analizzando i dati delle autorità di vigilanza. Nel corso del 2024, su un totale di oltre 145.000 segnalazioni di operazioni sospette arrivate agli organi di controllo, più di 46.000 riguardavano l’uso di carte di pagamento, giochi online e criptovalute. Il rischio è concentrato soprattutto nelle regioni dove il commercio è più sviluppato, con la Lombardia che guida la classifica nazionale registrando il 19,1% delle segnalazioni totali..

Tecniche di offuscamento e schemi operativi del riciclaggio digitale

Il mezzo prescelto per ripulire i guadagni che arrivano dai riscatti dei virus informatici, i famosi ransomware, sono sicuramente le criptovalute. Se è vero che la blockchain registra ogni transazione in modo pubblico, i proprietari dei portafogli digitali restano comunque protetti dall’anonimato.

Esistono poi mezzi specifici per evitare che l’operazione illecita venga individuata. Uno di questi è quello dell’utilizzo di servizi di mixing: ovvero programmi che prendono i soldi virtuali di tanti utenti diversi, li mescolano insieme in un unico calderone e poi li restituiscono spezzettati ai legittimi proprietari. Diviene così quasi impossibile comprendere da quale portafoglio iniziale provengano i fondi. Altro strumento è quello del hain hopping, checonsiste nel saltare da una criptovaluta all’altra in pochi istanti. Ad esempio si convertono Bitcoin in altre monete nate per proteggere la privacy, spezzando la catena dei registri contabili e rendendo le indagini un vicolo cieco.

Vi è poi lo structuring, noto anche come smurfing, che consiste nel dividere una grossa somma di denaro in tantissimi piccoli bonifici o ricariche di carte prepagate, in modo che i sistemi automatici delle banche non facciano scattare un controllo. – Questa pratica ha bisogno di money mules, cioè persone complici o inconsapevoli che prestano i loro conti per fare piccoli depositi che poi confluiscono in un unico conto finale. Un sistema più raffinato è il cuckoo smurfing, caratterizzato dal fatto che cittadino onesto si vede accreditare sul conto il bonifico che aspettava dall’estero, ma che in realtà è stato pagato in contanti da un criminale locale. Nel frangente i soldi puliti all’estero vengono dirottati sui conti dell’organizzazione criminale, senza che nessun denaro abbia mai davvero attraversato la frontiera.

Il denaro può essere pulito anche attraverso i videogiochi o i siti di scommesse on line. In questo ultimo caso, si aprono conti di gioco, si fanno puntate a rischio zero o ci si mette d’accordo per perdere a favore di un complice, per poi prelevare il denaro rimasto spacciandolo per una vincita lecita. Vi è anche il c.d. SIM swapping, una tipologia di truffa mediante la quale si sottrae il il numero di telefono della vittima per superare i controlli delle app bancarie e svuotare i conti correnti.

L’architettura regolatoria tra il nuovo pacchetto europeo e la disciplina nazionale

Poiché il cyberspace non ha confini fisici, l’Unione Europea ha creato un pacchetto di norme, chiamato AML Package, che introduce regole severe direttamente applicabili in ogni Stato membro. Il Regolamento Single Rulebook stabilisce controlli identici per l’identificazione dei clienti e fissa un limite massimo per l’uso del contante. Dal 2029 queste regole si applicheranno anche alle società di criptovalute, alle piattaforme di raccolta fondi e persino alle squadre di calcio. La VI Direttiva Antiriciclaggio organizza il lavoro delle autorità di controllo e l’accesso ai registri dei proprietari delle aziende. L’AMLA, infine, è una vera e propria agenzia europea contro il riciclaggio che controlla direttamente le banche e gli istituti finanziari più a rischio.

Oltre a questi provvedimenti importante è la Travel Rule, che obbliga tutte le società di criptovalute a trasmettere i dati di chi invia e di chi riceve una moneta virtuale per qualsiasi transazione, ponendo fine all’era del totale anonimato nel mondo crypto. Vi è , infine, il Regolamento MiCA che equipara le piattaforme di valute digitali alle banche tradizionali, obbligandole a richiedere autorizzazioni severe per lavorare e offrendo alle autorità il potere di bloccare immediatamente i fondi sospetti prima che vengano trasferiti all’estero.

In Italia il fenomeno trova la sua consacrazione giuridica nel Decreto Legislativo 231 del 2007, noto come legge antiriciclaggio. Si prevede che chiunque offre servizi legati alle monete virtuali ha l’obbligo di iscriversi in un registro speciale gestito dall’OAM, l’Organismo degli Agenti e dei Mediatori, e deve inviare ogni tre mesi i dati dei clienti e delle loro operazioni alle autorità.

Chi dichiara il falso o usa trucchi per nascondere l’identità di un cliente rischia da sei mesi a tre anni di carcere e una multa fino a 30.000 euro. Esiste poi il reato di tipping off, che vieta di avvisare il cliente se la banca sta facendo un controllo sul suo conto, con una pena che va da sei mesi a un anno Attraverso l’analisi delle disposizioni europee e nazionali si giunge alla conclusione che la lotta al riciclaggio non si sostanzia più inbarriere fisiche da presidiare, ma sulla reale capacità delle autorità e dei professionisti di identificare i flussi finanziari prima che “ svaniscano nel nulla”.

Paolo Galdieri

Avvocato penalista e cassazionista, noto anche come docente di Diritto Penale dell'Informatica, ha rivestito ruoli chiave nell'ambito accademico, tra cui il coordinamento didattico di un Master di II Livello presso La Sapienza di Roma e incarichi di insegnamento in varie università italiane. E' autore di oltre cento pubblicazioni sul diritto penale informatico e ha partecipato a importanti conferenze internazionali come rappresentante sul tema della cyber-criminalità. Inoltre, collabora con enti e trasmissioni televisive, apportando il suo esperto contributo sulla criminalità informatica.

Aree di competenza: Diritto Penale Informatico, Cybercrime Law, Digital Forensics Law, Cybercrime Analysis, Legal Teaching, Scientific Publishing

Visita il sito web dell'autore