La rilevanza penalistica degli attacchi ransomware – Andrea Federici
Il contributo esamina la rilevanza penalistica degli attacchi ransomware, muovendo dalla loro collocazione nel più ampio sistema dei reati informatici e dalla ricostruzione delle principali modalità tecnico-criminologiche attraverso cui il fenomeno si manifesta nella prassi. Dopo aver richiamato i dati empirici relativi alla diffusione delle estorsioni digitali, l’indagine si sofferma sulla qualificazione giuridica degli attacchi ransomware prima della l. 28 giugno 2024, n. 90, evidenziando l’assenza di un’elaborazione giurisprudenziale e il ruolo svolto dalla dottrina nell’inquadramento del fenomeno entro il paradigma dell’estorsione “comune”, eventualmente in concorso con altri reati informatici. La seconda parte del lavoro è dedicata al nuovo delitto di “estorsione informatica” introdotto nel corpo dell’art. 629 c.p., del quale vengono analizzati, in particolare, struttura, tecnica di tipizzazione e trattamento sanzionatorio. L’articolo mette quindi in luce le possibili criticità dell’intervento legislativo, con particolare riguardo alla tecnica di tipizzazione della nuova fattispecie, alla razionalità del relativo trattamento sanzionatorio e ai rischi di tensione con i principi di sussidiarietà, necessarietà e proporzionalità, soffermandosi altresì su alcuni profili di coordinamento sistematico, concernenti il regime delle circostanze aggravanti e la disciplina della responsabilità degli enti ex d. lgs. 8 giugno 2001, n. 231. Sono infine considerate alcune questioni collaterali, quali il divieto di pagamento del riscatto e la posizione del mediatore informatico nelle trattative con gli autori dell’attacco ransomware.
The paper examines the criminal law implications of ransomware attacks, starting from their place within the broader framework of cybercrimes and the main technical and criminological patterns through which the phenomenon manifests itself in practice. After considering empirical data on the spread of digital extortion, the article analyses the legal qualification of ransomware attacks prior to Law no. 90 of 28 June 2024, highlighting the absence of consolidated case law and the role played by legal scholarship in framing the phenomenon within the scope of ordinary extortion, possibly in connection with unlawful access to computer systems and computer damage offences. The second part focuses on the new offence of “cyber-extortion” introduced in Article 629 of the Italian Criminal Code, examining its structure, legislative technique and sanctioning framework. The article then highlights the possible critical issues raised by the legislative intervention, with particular regard to the drafting technique of the new offence, the rationality of its sanctioning framework, and the risks of tension with the principles of subsidiarity, necessity, and proportionality. It also examines certain issues of systematic coordination, concerning the regime of aggravating circumstances and the rules on corporate liability under Legislative Decree No. 231 of 8 June 2001. Finally, the article considers several complementary questions, such as the prohibition on paying the ransom and the position of the IT mediator in negotiations with the perpetrators of the ransomware attack.
Ransomware; estorsione informatica; reati informatici
Ransomware; cyber-extortion; cybercrime
