Indice
Testo dell'articoloVigente
Art. 615-quater c.p. – Detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi informatici o telematici
Testo vigente – R.D. 1398/1930 (aggiornato da Normattiva)
Detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi informatici o telematici Chiunque, al fine di procurare a sé o ad altri un vantaggio o di arrecare ad altri un danno, abusivamente si procura, detiene, produce, riproduce, diffonde, importa, comunica, consegna, mette in altro modo a disposizione di altri o installa apparati, strumenti, parti di apparati o di strumenti, codici, parole chiave o altri mezzi idonei all’accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo, è punito con la reclusione sino a due anni e con la multa sino a lire dieci milioni.
La pena è della reclusione da due anni a sei anni quando ricorre taluna delle circostanze di cui all’articolo 615-ter, secondo comma, numero 1) .
La pena è della reclusione da tre a otto anni quando il fatto riguarda i sistemi informatici o telematici di cui all’articolo 615-ter, terzo comma .
In sintesi
Indice dei contenuti
Detenzione e diffusione abusiva di codici accesso a sistemi informatici protetti al fine di profitto o danno altrui. Reclusione fino a un anno e multa fino a dieci milioni di lire; uno-due anni se aggravanti.
Ratio
L'articolo 615-quater criminalizza la commercializzazione e distribuzione di credenziali di accesso (password, chiavi, token). È norma che protegge dall'accesso indiretto ai sistemi: chi vende codici di accesso facilita hacking di massa, furti di identità, frodi bancarie. Il dolo specifico, fine di procurare profitto o danno, distingue questo reato dal semplice accesso abusivo (art. 615-ter).
Analisi
Comportamenti vietati: (1) procurarsi codici di accesso (es. rubare password di hacker); (2) riprodurre (copiare/registrare un codice); (3) diffondere (pubblicare online); (4) comunicare (trasferire a terzi); (5) consegnare fisicamente; (6) fornire indicazioni/istruzioni idonee all'accesso. Il primo comma prescrive reclusione fino a un anno e multa fino a dieci milioni di lire. Il secondo comma innalza a uno-due anni (e multa da dieci a venti milioni) se ricorrono circostanze di cui art. 617-quater comma 4 (pubblico ufficiale che abusa, investigatore privato, persona incaricata di custodia dati, aggravanti specifiche). Elemento cruciale: dolo specifico, colpevole deve agire 'al fine di procurare profitto o danno'. Non è reato possedere password altrui se senza fine di lucro/danno.
Quando si applica
Esempi: sito darknet che vende database di password bancarie; dipendente che vende credenziali aziendali a competitor; hacker che commercializza accesso a server governativo; persona che regala manuale con istruzioni per oltrepassare firewall. È delitto molto frequente in cybercrime organizzato, furti di massa di dati.
Connessioni
Strettamente correlato: art. 615-ter c.p. (accesso abusivo, spesso conseguenza di codici diffusi), art. 617-quater c.p. (intercettazione/captazione abusiva, aggravanti comuni), art. 640 c.p. (frode, se profitto conseguente a diffusione codici). Norma di cruciale importanza nel combattere underground economy di credenziali.
Pronunce della Corte Costituzionale
Corte Cost., sent. n. 68/2017
Prassi dell'Agenzia delle Entrate
Ministero della Giustizia
Casi pratici
Caso 1: Tizio è amministratore IT di grande banca
Rubato documento contenente master password di database clienti (centinaia di account). Tizio lo vende a Caio (criminale cibernetico) per 10.000 euro. Caio accede agli account e ruba 500.000 euro a vari correntisti. Tizio commette: (a) 615-quater (detenzione e diffusione codici) con fine di procurare profitto (quello che riceve); (b) pena uno-due anni (aggravante pubblico ufficiale/incaricato). Inoltre, è imputato di favoreggiamento nei furti di Caio.
Caso 2: Caso 2
Sempronio scopre accidentalmente che il suo ex datore Mevio mantiene cartelle condivise con password 'Password123'. Sempronio, in vendetta, pubblica il codice in forum hacker pubblico senza lucro diretto, ma sapendo che così Mevio subirà danni (furti di dati aziendali). Sempronio commette 615-quater (diffusione codici) con fine di arrecare danno (elemento soggettivo). Pena fino a un anno anche senza profitto, perché l'intenzione è nuocere.
Domande frequenti
Se scopro una password e la dico a un amico, commetto art. 615-quater?
Dipende dall'intenzione. Se dici solo per prendervi in giro, senza fine di profitto/danno, probabilmente non c'è reato (manca il dolo specifico). Se comunichi sapendo che l'amico la userà per hacking o frode, sì, commetti diffusione abusiva con fine di danno/profitto altrui.
Se sospetto che una azienda venda database di password, posso denunciare?
Sì, assolutamente. Puoi denunciare alle autorità (polizia postale, Carabinieri, GdF) con documentazione (screenshot di sito, comunicazioni, transazioni). È reato grave di diffusione abusiva di codici. Le autorità investigheranno e processeranno il colpevole secondo art. 615-quater.
La multa per art. 615-quater è stata aggiornata dagli anni '90?
La norma risale al 1993; le pene pecuniarie (dieci/venti milioni di lire) non sono state rivalutate al cambio euro. Probabilmente saranno presto riformulate. Ad oggi, il valore nominale è piccolo (~5.000 euro), ma il deterrente è la reclusione (fino a due anni).
Se un investigatore privato vende accessi per 'test di penetrazione', è reato?
Se agisce senza autorizzazione della società e vende accessi a soggetti diversi, sì, è art. 615-quater con aggravante (investigatore privato che abusa, art. 617-quater). Pena uno-due anni. Se ha contratto esplicito con la società per penetration testing, è legittimo.
Fornire 'manuale' su come forzare password è art. 615-quater?
No, il 'manuale' su metodi generici non è reato. Art. 615-quater punisce chi diffonde codici specifici (password reale, token attivo, chiave crittografica). Fornire tutorial su cybersecurity è libera espressione. La linea è: codici reali/operativi = reato; istruzioni generiche = libertà di insegnamento.
Fonti consultate: 2 fontei verificate