Configurabilità della frode informatica nelle operazioni di manipolazione telematica tramite tecniche di 'man in the middle' (Giudice Arnaldo Merola)

Svolgimento del processo
Con decreto di citazione diretta a giudizio emesso dal PM presso il Tribunale di Napoli in data 17 gennaio 2020, Ab.Lu. veniva tratto a giudizio per rispondere dei reati in epigrafe indicati.

All'udienza del 21 settembre 2020, il giudice, preso atto dell'assenza di una regolare notifica del decreto di citazione nei confronti dell'imputato, ne disponeva la rinnovazione, rinviando il processo.

All'udienza dell'1 marzo 2021, il giudice, accertata la regolare costituzione delle parti e disposto procedersi in assenza dell'imputato, ritualmente citato e non comparso, dichiarava aperto il dibattimento e ammetteva i mezzi di prova orali e documentali richiesti dalle parti. All'esito, il processo veniva rinviato in prosieguo.

Alle udienze del 28 giugno 2021 e del 10 gennaio 2022, il processo veniva rinviato, stante l'assenza dei testi.

All'udienza del 9 maggio 2022, il processo veniva rinviato al fine di consentire la riassegnazione del relativo fascicolo.

All'udienza del 12 ottobre 2022 (prima innanzi allo scrivente), il giudice, preso atto dell'intervenuta modifica dell'organo giudiziario, procedeva alla rinnovazione dell'istruttoria dibattimentale. Le parti si riportavano alle richieste di prova già formulate e il giudice le ammetteva nei medesimi termini. Si procedeva, poi, all'escussione del teste, Pi.Ti. A quel punto, con il consenso delle parti si acquisivano la denuncia-querela sporta dal Pi. in data 1 febbraio 2018 e gli atti di indagine a firma del Mar. Ga.Pa. e dell'App. L.To., con rinuncia delle parti alla loro escussione. Il giudice, allora, revocava l'ordinanza ammissiva delle relative testimonianze e rinviava il processo in prosieguo. All'odierna udienza, il giudice dichiarava chiusa l'istruttoria e utilizzabili tutti gli atti processuali contenuti nel fascicolo dibattimentale e dava la parola alle parti, che rassegnavano le conclusioni in epigrafe riportate, sulla base delle quali pronunciava la presente sentenza, dando lettura del dispositivo in udienza.

Motivi della decisione
All'esito dell'istruttoria dibattimentale svolta, appare pienamente provata la responsabilità di Ab.Lu. in ordine ai reati a lui ascritti in rubrica.

Sulla base della testimonianza raccolta e della documentazione acquisita i fatti oggetto del presente procedimento possono essere così ricostruiti.

Nel mese di novembre del 2017, la società "Th. S.r.l." avviava un'indagine di mercato per l'acquisto di una cella frigorifera. A seguito di varie trattative, in data 7 dicembre 2017 alle ore 13.32 il titolare della società "Fa. S.r.l.", tale Fa., inoltrava sulla mail aziendale (...) una proposta di preventivo datata 20 novembre 2017, avente ad oggetto la vendita di una cella frigorifera per l'importo complessivo di 13.098,65 euro. Ritenendo l'offerta della "Fa. S.r.l." confacente alle esigenze aziendali, Pi.Ti., in qualità di amministratore unico della "Th. S.r.l.", inviava il preventivo al proprio consulente, rag. Ca.Sp., e alle ore 16.00 trasmetteva la conferma dell'ordine, dallo stesso controfirmato, alla "Fa. S.r.l." a mezzo mail. Dopo circa una settimana dall'inoltro dell'accettazione e precisamente in data 14 dicembre 2017, Se.Gi., dipendente della "Th. S.r.l.", veniva contattato sulla sua utenza telefonica dal titolare della "Fa. S.r.l", il quale richiedeva il versamento di un acconto. A quel punto, il Se., come da prassi aziendale, segnalava al suo interlocutore che per poter effettuare il pagamento l'azienda avrebbe dovuto emettere una fattura, in modo da avviare la pratica per il credito di imposta. Nella giornata successiva, il Se. riceveva tramite "whastapp" copia della fattura, che prontamente provvedeva a inoltrare sulla mail aziendale. Il titolare della "Fa. S.r.l." nei giorni successivi sollecitava più volte il pagamento della fattura, così, in data 18 dicembre 2017, si provvedeva a inoltrare il predetto documento al rag. Sp. per verificare se tutto fosse in regola. Ottenuto il via libera dal consulente nella stessa giornata, il Se. provvedeva a stampare la fattura commerciale emessa dalla "Fa. S.r.l.". Si trattava, in particolare, della fattura n. 928, datata 15 dicembre 2017, dell'importo complessivo di 6.549,33 (ovvero metà del prezzo pattuito da versare a titolo di acconto), che recava l'indicazione esatta di quanto acquistato, con la specificazione del numero dell'offerta, e le coordinate bancarie del conto su cui effettuare il bonifico (...).

In data 19 dicembre 2017, utilizzando il conto corrente aziendale si provvedeva a effettuare il predetto pagamento, indicando come beneficiario del bonifico la società "Fa. S.r.l." e nella causale i riferimenti della fattura. Tuttavia, in data 29 dicembre 2017, il Se. veniva contattato dal titolare della "Fa. S.r.l", il quale segnalava di non aver ricevuto il pagamento e, quindi, sollecitava nuovamente l'effettuazione del bonifico. Il Se., allora, notiziava il proprio interlocutore del fatto che la società avesse già provveduto a effettuare il pagamento e di là a poco provvedeva a inviargli la ricevuta del bonifico. Ricevuta la documentazione, il fornitore rappresentava al Se. che le coordinate bancarie indicate nel bonifico erano errate. Ed invero, poco dopo la "Th. S.r.l." riceveva nuovamente la fattura del 15 dicembre 2017, ma questa volta le coordinate bancarie risultavano diverse. Interpellato sul punto, il titolare della "Fa. S.r.l." disconosceva il precedente documento contabile, rappresentando che le coordinate bancarie corrette fossero quelle riportate nella fattura da lui poco prima inviata. Consapevole di essere stato vittima di truffa, il Pi. si recava presso il proprio Istituto di credito e tentava, invano, di revocare il bonifico effettuato. E così, non riuscendo a ottenere il riaccredito della somma versata, lo stesso si determinava a sporgere denuncia-querela in data 1 febbraio 2018 presso la Procura della Repubblica di Messina (cfr. querela sporta da Pi.Ti. e relativi allegati, in atti). Ebbene, le attività di indagine svolte dalla p.g. operante consentivano di accertare che il conto deposito su cui era transitata la somma versata fosse stato acceso in data 5 ottobre 2017 presso una filiale della T., sita presso il centro commerciale (...), da Ab.Lu. (odierno imputato). Si riscontrava, inoltre, che il predetto conto era stato attivato in data 16 ottobre 2017 e che era già stato chiuso in data 29 gennaio 2017 e che in tale periodo tutte le somme pervenute sul conto, tra cui la somma in contestazione, venivano immediatamente trasferite su un conto corrente sempre intestato all'Ab., attraverso operazioni di "giroconto" (cfr. documentazione bancaria prodotta dalla IN., in atti).

Orbene, i citati elementi probatori provano con certezza la penale responsabilità dell'odierno imputato per i reati a lui ascritti.

Ed invero, la vicenda in esame può essere pacificamente ricondotta a una delle manifestazioni di una tecnica criminale generale denominata "man in the middle". La logica è semplice e chiara: inserirsi in vario modo nelle comunicazioni via mail che intercorrono tra partner commerciali per dirottare su un conto differente da quello di naturale destinazione somme di denaro dovute a titolo di corrispettivo per beni o servizi resi.

Sul punto il Ministero dello Sviluppo economico precisa che: "in un attacco di tipo Man-in-the-Middle (MITM), letteralmente "uomo nel mezzo", l'attaccante si inserisce tra due entità che comunicano tra loro, tipicamente un client e un server, compromette con tecniche

crittografiche la comunicazione e intercetta i messaggi scambiati, leggendoli e modificandoli a piacere, senza che le parti interessate ne siano consapevoli".

Le due varianti maggiormente conosciute sono state definite come BEC (business email compromise) o CEO (Chairman Executive Officer) Fr.; in entrambi i casi si tratta di tecniche fraudolente finalizzate a violare la corrispondenza intercorrente tra partner commerciali e, quindi, a indurre uno di tali soggetti a porre in essere atti di disposizione patrimoniale. Tecniche, entrambe, che richiedono non solo significative capacità informatiche, quanto anche conoscenze commerciale/relazionale, come tali espressive di elevate capacità criminali. Nel primo caso (BEC) gli autori della condotta intervengono surrettiziamente in un rapporto esistente, al fine di "dirottare" uno o più pagamenti riferibili ad acquisti di beni o servizi effettivamente intercorsi tra le parti. Nel secondo, al contrario - con forme ancora più subdole e insidiose - le disposizioni patrimoniali vengono impartire assumendo l'identità telematica di uno o più soggetti (realmente esistenti) ai vertici di una società. In particolare questa seconda tecnica presuppone o una conoscenza diretta dei rapporti interni della società "vittima" del reato o, in alternativa, una lunga e dettagliata osservazione delle modalità decisionali e operative della stessa; richiede, inoltre, la capacità di formare documenti - da trasmettere via posta - in grado di trarre in inganno i destinatari delle comunicazioni non solo sulle "forme", quanto anche sulla sostanza (stile, espressioni, riferimenti commerciali) dei medesimi. Documenti che sono trasmessi a mezzo e-mail aziendali oggetto di contraffazione, e rispetto alle quali occorre garantire che anche le risposte - inviate dalle vittime - siano trasmesse con la funzione di risposta e non digitando autonomamente l'indirizzo o ricorrendo alla rubrica "contatti".

A un periodo di "studio" dei rapporti commerciali interni ed esterni fa quindi seguito la richiesta di un atto di disposizione patrimoniale, ovviamente a favore di un conto intestato -effettivamente o fittiziamente - a un soggetto compiacente.

La prassi nettamente più utilizzata è, tuttavia, quella della "business email compromise", che trova luogo principalmente rispetto a soggetti commerciali che eseguono o ricevano regolarmente bonifici con fornitori/terze parti estere. Una prassi per molti aspetti più semplice da utilizzare, e che si fonda sull'acquisizione di elementi aziendali con tecniche specifiche. Una fase preliminare prende il nome di "spear phishing"; si tratta di una forma di phishing mirato tramite e-mail, con l'intento di ottenere l'accesso non autorizzato, ad esempio, a dati sensibili. A differenza dei phishing, che sferra attacchi indiscriminati su vasta scala, lo "spear phishing" prende di mira un gruppo specifico o un'organizzazione. In concreto, gli autori dei reati scelgono un bersaglio (es. una società che possiede informazioni utili o di cui si può ottenere l'accesso) e quindi identificano un dipendente che potrebbe aver accesso a informazioni significative, studiandone rapporti e abitudini. In esito a ciò:

- in una prima fase, il dipendente di un'azienda riceve una mail, apparentemente inviata da un soggetto o ente che può carpire la fiducia di tale soggetto; la mail può includere link o avere un file allegato; seguendo il primo o aprendo il secondo il computer del destinatario viene "infettato" con un programma in grado di consentire agli autori della condotta di "spiare" le comunicazioni della vittima;

- nella seconda fase, tramite l'accesso al p.c. e/o alla mail del dipendente, i criminali iniziano a spiarne le comunicazioni interne ed esterne, individuando i responsabili commerciali, i creditori e debitori;

- nella terza fase, è inviata un'email, apparentemente riferibile a un fornitore dell'azienda cui deve essere fatto un pagamento, nella quale si comunica che è stato modificato il rapporto bancario e che per tali ragioni il pagamento dovrà essere eseguito sul nuovo conto; conto che in realtà non presenta alcuna relazione con la società in concreto destinataria del pagamento. La condotta è molto insidiosa in quanto la richiesta di eseguire il pagamento è direttamente riferita a un documento (fattura) recente ed esistente, circostanza questa che fuga ogni apparente dubbio sull'autenticità della segnalazione e, una volta effettuato il pagamento, il "sistema" può contare sulla prassi commerciale in base alla quale la mancata effettiva ricezione della somma da parte delle vittima del reato determina un controllo/sollecito dopo alcuni giorni, in un momento in cui la stessa è stata ormai prelevata.

Tanto premesso, non residuano dubbi sul fatto che la società "Th. S.r.l." sia stata vittima di un attacco informatico del tipo "man in the middle", atteso che il soggetto agente è riuscito a inserirsi nelle comunicazioni via mail che sono intercorse con la "Fa. S.r.l." per dirottare su un conto differente da quello di naturale destinazione l'importo di 6.549,33 euro dovuto a titolo di acconto per l'acquisto di una cella frigorifera.

Ciò consente di ritenere configuratali nel caso di specie gli elementi costitutivi dei delitti di cui agli artt. 617-quater (intercettazione fraudolenta di comunicazioni telematiche), 617-sexies (alterazione del contenuto di comunicazioni telematiche) e 640-ter (frode informatica) c.p., derivante, quest'ultima fattispecie, dall'intervento senza diritto a fine di profitto su un sistema telematico. Intervento che "finisce" la fase attiva della condotta, determinando l'atto di disposizione patrimoniale.

Ed invero, l'articolo 3 della legge 23 dicembre 1993 n. 547 ha introdotto l'art. 617-quater c.p. in tema di "intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche", che recita: "Chiunque fraudolentemente intercetta comunicazioni relative a un sistema informatico o telematico o intercorrenti tra più sistemi, ovvero le impedisce o le interrompe, è punito con la reclusione da un anno e sei mesi a cinque anni". La condotta del delitto de quo consiste nel l'intercettare, interrompere o impedire comunicazioni relative a un sistema informatico o telematico o intercorrenti tra più sistemi, nel momento dinamico della loro trasmissione. Il dolo richiesto per l'ipotesi delittuosa in esame è generico e consiste, pertanto, nella mera coscienza e volontà di porre in essere una delle predette azioni. Analogamente l'articolo 6 della legge 23 dicembre 1993 n. 547 ha introdotto l'art. 617-sexies c.p. in tema di falsificazione, alterazione o soppressione del contenuto di informazioni informatiche o telematiche che recita: "Chiunque al fine di procurare a sè o ad altri un vantaggio o di arrecare ad altri un danno, forma falsamente ovvero altera o sopprime, in tutto o in parte, il contenuto, anche occasionalmente intercettato, di taluna della comunicazioni relative ad un sistema informatico o telematico o intercorrenti fra più sistemi, è punito, qualora ne faccia uso o lasci che altri ne facciano uso, con la reclusione da uno a quattro anni. La pena è della reclusione da uno a cinque anni nei casi previsti dal quarto comma dell'articolo 617 quater".

La condotta del delitto de quo consiste nel formare, falsamente, in tutto o in parte, il testo di una comunicazione informatica o telematica, ovvero nell'alterare, sopprimere, in tutto o in parte, il contenuto di una comunicazione informatica o telematica vera, anche se solo occasionalmente intercettata, allo scopo di procurarsi un vantaggio o di arrecare ad altri un danno. Il reato, quindi, pur inserito nel corpo della sezione dedicata ai delitti contro l'inviolabilità dei segreti, delinea una particolare figura di falso, caratterizzata in ragione del suo oggetto.

Il dolo richiesto per l'ipotesi delittuosa in esame è specifico e consiste, infatti, nella coscienza e volontà di procurarsi direttamente o indirettamente un vantaggio, non necessariamente di carattere patrimoniale, o di recare ad altri un danno. Deve, poi, essere oggettivamente riscontrabile, in conseguenza dell'azione del soggetto agente, la materiale alterazione o soppressione dell'informazione attinta. Occorre infine che dell'alterazione compiuta l'agente abbia fatto uso o abbia semplicemente tollerato un uso ad opera di altri; deve, quindi, esservi stata consapevolezza della diffusione esterna di una rappresentazione informativa non genuina o non corrispondente a verità.

Ebbene nel caso di specie, la captazione delle comunicazioni intercorse via mail tra la "Th. S.r.l.s." e la "Fa. S.r.l.", in quel momento impegnate in un'operazione commerciale di compravendita di una cella frigorifera, e l'alterazione della fattura apparentemente inviata dalla "Fa. S.r.l.", consistita nel sostituire le corrette coordinate bancarie su cui versare la somma richiesta a titolo di acconto, costituiscono condotte che, anche da un punto di vista soggettivo, attesa la evidente finalità di acquisire un vantaggio - con pregiudizio altrui - consistente nel ricevere in luogo dell'effettivo destinatario l'importo pagato, possono essere correttamente sussunte nelle fattispecie di cui agli artt. 617-quater e 617-sexies c.p.

La circostanza, poi, che l'agente, intervenendo senza diritto sul predetto sistema telematico, abbia determinato l'atto di disposizione patrimoniale a lui favorevole, dirottando su un conto differente (ovvero quello intestato all'odierno imputato) da quello di naturale destinazione (ovvero quello della "Fa. S.r.l.") l'importo di 6.549,33 euro dovuto dalla "Th. S.r.l." a titolo di acconto per l'acquisto di una cella frigorifera, consente di ritenere configurabile nel caso di specie anche il reato di frode informatica di cui all'art. 640-ter c.p. Esso, infatti, è volto a disciplinare quei fenomeni criminali che si caratterizzano nell'uso distorto o nell'abuso della tecnologia informatica hardware e software, ma la sua collocazione sistematica è espressione della volontà del legislatore di tutelare, quale bene giuridico protetto, il patrimonio punendo le ipotesi di ingiusto profitto ottenuto mediante l'impiego "alterato" o "senza diritto" di un sistema informatico o telematico. Si tratta di un delitto punito a titolo di dolo generico, ossia è sufficiente la coscienza di porre in essere le condotte tipiche della fattispecie e la volontà di procurare a sé o ad altri un profitto ingiusto con altrui danno, ed è necessario, per l'integrazione del reato che, per il tramite della condotta fraudolenta, l'agente procuri a sé o ad altri un ingiusto profitto con altrui danno.

Infatti, il reato di frode informatica si differenzia dal reato di truffa perché l'attività fraudolenta dell'agente investe non la persona (soggetto passivo), di cui difetta l'induzione in errore, bensì il sistema informatico di pertinenza della medesima, attraverso la manipolazione di detto sistema (cfr. Cass., Sez. II, 11 novembre 2009, n. 44720).

Al riguardo va, poi, evidenziato che il delitto di cui all'art 617-quater c.p. e quello di frode informatica ex art. 640-ter c.p. possono concorrere, essendo diversi i beni giuridici tutelati e le condotte sanzionate. La disposizione di cui all'art 617-quater c.p. è diretta a garantire la libertà e la segretezza delle comunicazioni telematiche, mentre la frode informatica contempla l'alterazione dei dati immagazzinati nel sistema al fine della percezione di ingiusto profitto e nasce con la ratio di offrire tutela al patrimonio e più specificatamente al regolare funzionamento dei sistemi informatici nonché alla riservatezza dei dati ivi contenuti (cfr. Cass., Sez. V, 9 ottobre 2020, n. 869).

Il materiale accredito della somma versata dalla "Th. S.r.l." a titolo di acconto sul conto deposito dell'Ab. è indice univoco dell'attribuibilità all'odierno imputato delle condotte penalmente rilevanti (eventualmente in concorso con terzi rimasti ignoti), avendo egli solo l'interesse all'operazione descritta che ha incrementato la sua liquidità di 6.549,33,00 euro. Peraltro, la somma in questione, al pari delle altre pervenute sul conto nel medesimo periodo, venivano immediatamente trasferite su un altro conto sempre intestato all'Ab., attraverso operazioni di "giroconto". In altre parole, l'odierno imputato risulta l'unico soggetto avvantaggiato dalla transazione fraudolenta e, peraltro, lo stesso non ha fornito alcuna versione alternativa dei fatti nell'odierno processo né ha obiettato alcunchè in ordine alla condotta illecita addebitatagli, come sarebbe stato del tutto normale se fosse estraneo ai fatti. Tanto premesso in ordine alla responsabilità dell'Ab., occorre determinare il trattamento sanzionatorio da irrogare nei suoi confronti.

In primo luogo, quanto alle contestate circostanze aggravanti, va evidenziato che, a parere di questo giudice, se risulta correttamente contestata la circostanza di cui all'art. 61, n. 2, c.p., atteso l'evidente nesso teleologico che collega il delitto di cui al capo a) della rubrica al reato-fine di cui al capo b) della rubrica, non può ritenersi sussistente quella di cui all'art. 61, n. 7, c.p., atteso l'ammontare non rilevante dell'offesa arrecata al patrimonio societario della "Th. S.r.l.", in considerazione sia dell'entità oggettiva del danno che delle condizioni economiche della vittima.

Inoltre, alla luce del comportamento processuale serbato dall'odierno imputato, con evidente vantaggio in termini di economia processuale, sussistono ragioni di meritevolezza che consentono il riconoscimento allo stesso delle circostanze attenuanti generiche in misura prevalente alla contestata aggravante.

Infine, i più reati in contestazione vanno riunificati sotto il vincolo della continuazione, essendo riconducibili con evidenza a un unico disegno criminoso a sfondo patrimoniale. Pertanto, valutati tutti i criteri cui all'art. 133 c.p., pare congruo condannare Ab.Lu. alla pena di anni uno e mesi sei di reclusione, così determinata: pena base per il più grave reato di cui all'art. 617-sexies c.p. anni uno e mesi sei di reclusione, ridotta per il riconoscimento delle circostanze attenuanti generiche alla pena di anni uno di reclusione, aumentata per la continuazione con il reato di cui all'art. 617-quater c.p. alla pena di anni uno e mesi tre di reclusione, aumentata per la continuazione con il reato di cui all'art. 640-ter c.p. alla pena inflitta.

Alla condanna nel merito segue, per legge, quella al pagamento delle spese processuali. Non sussistono, alla luce del precedente specifico da cui l'Ab. risulta gravato, i presupposti formali e sostanziali per la concessione all'imputato dei benefici della sospensione

condizionale della pena e della non menzione della condanna (cfr. certificato del casellario giudiziale, in atti).

Riguardo alla domanda di natura civilistica formulata nel presente giudizio, va osservato che la realizzazione del contestato reato da parte dell'imputato ha indubbiamente provocato un danno patrimoniale alla persona offesa; pertanto in relazione a tale danno deve essere affermata la responsabilità dell'Ab., il quale deve, perciò, essere condannato al risarcimento dello stesso in favore della parte civile costituita, da liquidarsi in separato giudizio. Sulla base delle prove acquisite in dibattimento, può essere liquidata in favore della costituita parte civile la somma di euro 6.549,33 a titolo di provvisionale, essendo stata raggiunta la prova che tale sia l'importo delle cambiali contraffatte (cfr. documentazione acquisita), infine, l'Ab., soccombente nel giudizio civile instaurato nell'ambito del processo penale, va condannata al pagamento delle spese di costituzione e rappresentanza affrontate dalla parte civile costituita, che si liquidano in euro 1.500,00, oltre IVA e CPA e rimborso spese generali nella misura del 15 per cento, come per legge.

Alla luce dei carichi di lavoro, si fissa in giorni sessanta il termine per il deposito della motivazione.

P.Q.M.
Letti gli artt. 533 e 535 c.p.p., dichiara Ab.Lu. colpevole dei reati a lui ascritti e, ritenuti gli stessi avvinti dal vincolo della continuazione, esclusa la circostanza aggravante del danno di rilevante gravità e concesse le circostanze attenuanti generiche in misura prevalente alla contestata aggravante, lo condanna alla pena di anni uno e mesi sei di reclusione, oltre al pagamento delle spese processuali.

Letti gli artt. 538 e ss. c.p.p., condanna Ab.Lu. al risarcimento dei danni subiti dalla costituita parte civile, da liquidarsi in separato giudizio, e al pagamento di una somma a titolo di provvisionale immediatamente esecutiva di euro 6.549,33.

Letto l'art. 541 c.p.p., condanna Ab.Lu. al pagamento delle spese di costituzione e rappresentanza sostenute dalle costituite parti civili che si liquidano in euro 1.500,00, oltre IVA e CPA e rimborso spese generali nella misura del 15 per cento, come per legge.

Fissa in giorni sessanta il termine per il deposito della motivazione.

Così deciso in Nola il 18 novembre 2022.

Depositata in Cancelleria il 12 gennaio 2023.