Da oggi in vigore il nuovo reato 231 di "estorsione informatica" (629, Comma, C.P.)... ed entra anche il Pishing nel modello organizzativo delle imprese!

La legge 28 giugno 2024, n. 90, in vigore da oggi – 17 luglio 2024 – si prefigge di fornire una risposta al fenomeno del crimine informatico, in crescita costante negli ultimi anni, ed agli attacchi compiuti online per scopi prevalentemente estorsivi. Con quest’intento, infatti, il Legislatore sembra aver apportato una serie di rilevanti modifiche al codice penale, al codice di procedura penale e ad un nutrito elenco di leggi speciali.

➡️ Tra le modifiche in rilievo, si segnala l’introduzione di un nuovo terzo comma al disposto dell’art. 629 c.p., che disciplina l’estorsione. Tramite questo si inserisce l’ipotesi di c.d. “estorsione informatica”, in cui la condotta tipica di chi “costringe taluno a fare o ad omettere qualche cosa, procurando a sé o ad altri un ingiusto profitto con altrui danno” viene correlata al compimento di specifici reati informatici, che diventano lo strumento con cui si realizza la costrizione. E’ il caso di chi, ad esempio, penetrato il sistema informatico di un’impresa, ne acquisisca i dati e minacci di diffonderli se non viene pagato un “riscatto”. Tale delitto viene inserito anche nel catalogo della 231 (art. 24 bis), determinando la responsabilità dell’impresa qualora compiuto da dipendenti a vantaggio di essa.

A tal proposito non deve sfuggire, però, un fatto di sicura rilevanza: tra i reati richiamati dalla norma come presupposto dell’estorsione informatica, ve ne sono cinque la cui realizzazione faceva già scattare la responsabilità 231. Ve ne è invece, un sesto, estraneo – per lo meno fino ad oggi – a questo tipo di sistema: si tratta dell’art. 617-sexies c.p. “Falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche”, generalmente ricondotto ad ipotesi di phishing, anche in concorso con altri reati, come l’art. 494 c.p. “Sostituzione di persona”. La responsabilità 231, quindi, risulterà estensibile anche ad ipotesi in cui, ad esempio, dopo aver falsificato loghi che riproducono i siti ufficiali di banche, gli autori del fatto, inducono i clienti delle stesse a fornire i propri dati e, tramite questi, si introducono abusivamente in un’area riservata e autorizzano operazioni di pagamento a favare di conti correnti da loro controllati.

Si tratta di una modifica che non può passare inosservata e che, anzi, dovrà guidare le prossime attività di aggiornamento del Modello di Organizzazione, Gestione e Controllo, cui enti e società saranno prossimamente tenute.

Nella slide qui sotto è rappresentato sinteticamente quanto appena esposto, in modo da fornire uno strumento di facile consultazione. Buona lettura!