Accesso abusivo a sistema informatico: documentare l’intrusione per la denuncia
Ci si accorge quasi sempre di rimbalzo che qualcuno è entrato nel proprio account: un messaggio partito a proprio nome, un ordine mai effettuato, la richiesta di reimpostare una password che nessuno ha chiesto. La reazione istintiva è ripulire tutto in fretta, cioè cambiare le credenziali, disconnettere ogni dispositivo, cancellare i messaggi sospetti. In quei minuti sparisce anche l'unica cosa che avrebbe reso la denuncia per accesso abusivo a sistema informatico qualcosa di più di un racconto.
Il punto è che questo reato non si prova con il danno, ma con l'accesso. Non conta soltanto che siano partiti messaggi indesiderati: conta poter dire quando un estraneo è entrato, da dove, con quale dispositivo e per quanto tempo è rimasto. Sono informazioni che il servizio espone nella sezione sicurezza dell'account e che restano visibili per una finestra breve. La regola pratica è una sola: prima si documenta, poi si ripristina. E la documentazione va acquisita in modo che regga alla contestazione di chi la riceve, non salvata in una cartella di appunti.
Come abbiamo visto nella guida su furto di identità digitale e account clonati, il fenomeno riguarda tanto i privati quanto le aziende. Qui restringiamo il campo a un caso specifico: l'account di cui si è titolari e che viene violato dall'interno.
Questo approfondimento fa parte della guida: Furto di identità digitale e account clonati: come certificare le prove per la denuncia
Che cosa si perde nei primi minuti dopo la compromissione di un account
Il ripristino delle credenziali chiude la falla e insieme azzera lo stato che descriveva l'intrusione. Sessioni attive, dispositivi collegati e avvisi di sicurezza sono elementi dinamici, che il servizio aggiorna in tempo reale e non conserva per l'utente. Ripulito l'account restano gli effetti del danno, non le circostanze dell'accesso, che sono esattamente ciò su cui si fonda la querela.
Le tracce che il ripristino cancella
Chiudere tutte le sessioni è la prima cosa che ogni servizio consiglia di fare, ed è corretto dal punto di vista della sicurezza. Sul piano probatorio, però, quella schermata che elenca due sessioni attive da un paese in cui non si è mai stati è la fotografia dell'intrusione in corso. Dopo la disconnessione la stessa schermata mostra un solo dispositivo, il proprio, e non è più ricostruibile. Lo stesso vale per le impostazioni modificate dall'attaccante, come una casella di recupero sostituita o una regola di inoltro automatico della posta: se si sistemano prima di documentarle si perde la prova della persistenza, cioè del fatto che l'accesso non è stato un episodio isolato ma è stato preparato per durare.
Per quanto tempo restano disponibili i registri lato fornitore
Gli stessi dati esistono anche presso il fornitore del servizio, ma su un binario diverso e con tempi diversi. Non sono consultabili dall'utente e vengono acquisiti su richiesta dell'autorità giudiziaria, quindi in una fase successiva alla denuncia e con esito non garantito: i termini di conservazione variano per fornitore, per tipo di dato e per giurisdizione, e possono scadere prima che la richiesta arrivi. Quello che il titolare ha in mano subito è il registro degli accessi visibile nel proprio pannello. È meno completo dei dati del fornitore, ma ha un vantaggio decisivo, cioè è disponibile ora e permette di circostanziare la denuncia nel momento in cui la si presenta.
Nel contesto aziendale esiste un termine di riferimento utile. Il provvedimento del Garante privacy del 27 novembre 2008 sugli amministratori di sistema prescrive che le registrazioni degli accessi abbiano caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità, e che siano conservate per un periodo non inferiore a sei mesi. Vale la pena notare quali requisiti il Garante ritiene indispensabili perché un registro serva a qualcosa: non la quantità di dettaglio, ma il fatto che non sia modificabile e che l'integrità sia verificabile. È esattamente il problema di chi deve portare in denuncia la schermata del proprio pannello.
Che cosa documentare prima di ripristinare l'accesso
La sequenza corretta è documentare, mettere in sicurezza, denunciare. Nel primo passaggio servono cinque elementi, tutti recuperabili dalle impostazioni dell'account senza competenze tecniche. Il criterio con cui ordinarli non è l'importanza ma la volatilità: prima ciò che sparisce con il primo intervento correttivo, poi ciò che resta.
Gli elementi da acquisire, in ordine di volatilità
| Elemento | Dove si trova | Che cosa dimostra |
|---|---|---|
| Sessioni attive e dispositivi collegati | Impostazioni di sicurezza dell'account | Che al momento del rilievo il controllo dell'account era condiviso con un terzo |
| Registro degli accessi con data, ora, indirizzo IP e luogo stimato | Cronologia delle attività o degli accessi recenti | Quando è iniziata l'intrusione e da quale provenienza |
| Impostazioni alterate: recupero, inoltro automatico, verifica in due passaggi | Sezione sicurezza e regole di inoltro del servizio | Che l'accesso è stato reso persistente e non è stato un episodio isolato |
| Avvisi di sicurezza ricevuti | Casella di recupero, SMS, notifiche dell'applicazione | La tempistica del tentativo e il momento in cui il titolare ne è venuto a conoscenza |
| Operazioni partite dall'account: messaggi inviati, ordini, pagamenti | Posta inviata, cronologia degli ordini, conversazioni | Il collegamento tra l'intrusione e il danno subito dal titolare o da terzi |
Uno screenshot di queste schermate serve a poco se catturato con il telefono e spedito in una conversazione: arriva alla controparte come un'immagine senza data verificabile, ricompressa dal servizio di messaggistica e priva di un legame dimostrabile con la schermata originale. È la stessa obiezione che si incontra quando si prova a portare in giudizio uno screenshot come prova in tribunale: l'art. 2712 del Codice civile riconosce alle riproduzioni informatiche piena efficacia probatoria, ma solo se colui contro il quale sono prodotte non ne disconosce la conformità ai fatti. Il disconoscimento non costa nulla ed è quasi automatico, e a quel punto l'onere di dimostrare la genuinità torna a chi ha prodotto il file.
Il caso dell'area riservata di un servizio è particolarmente delicato, perché le pagine sono dinamiche e visibili solo dopo l'autenticazione: la procedura corretta per l'acquisizione forense di un'area riservata tiene insieme il contenuto della schermata, l'indirizzo effettivo da cui proviene e il momento della cattura.
Dalla documentazione alla querela: che cosa prevede l'art. 615 ter c.p.
L'accesso a un sistema informatico o telematico protetto da misure di sicurezza è punito dall'art. 615 ter del Codice penale, che colpisce sia chi si introduce sia chi vi si mantiene contro la volontà di chi ha diritto di escluderlo. L'ipotesi base è procedibile a querela della persona offesa, da presentare entro tre mesi dalla scoperta del fatto. È un termine che rende il tempo un fattore concreto, perché decorre dal momento in cui ci si accorge dell'intrusione, cioè da quando le tracce sono ancora recuperabili.
La legge 28 giugno 2024 n. 90 in materia di cybersicurezza ha inasprito il quadro sanzionatorio, portando la reclusione prevista dal secondo comma da uno a cinque anni a due a dieci anni ed estendendo l'aggravante alle condotte che comportano la sottrazione dei dati, anche mediante riproduzione o trasmissione, oppure la loro inaccessibilità per il titolare. È una precisazione che pesa nei casi aziendali: la copia silenziosa di una casella di posta, senza alcun danneggiamento visibile, rientra ora in modo esplicito nel perimetro aggravato.
Un equivoco frequente riguarda i casi in cui chi è entrato conosceva le credenziali. La Cassazione penale, sezione quinta, con la sentenza n. 3025 del 27 gennaio 2025, ha ribadito che il reato sussiste anche quando le credenziali erano state comunicate dal titolare, se l'accesso avviene contro la sua volontà o per finalità diverse da quelle per cui era stato consentito. Riguarda da vicino le separazioni, i rapporti di lavoro cessati e i soci in lite, cioè i casi in cui la prima obiezione è sempre la stessa, ovvero che la password era stata data spontaneamente.
Perché la data e la provenienza pesano più del contenuto
Chi riceve la denuncia raramente discute il contenuto di ciò che gli viene consegnato: discute la sua collocazione nel tempo e la sua origine. Una schermata del registro degli accessi diventa utile quando si può affermare che è stata acquisita in un momento preciso, che da allora non è stata modificata e che proviene davvero dal pannello di quel servizio. Senza questi tre elementi resta una dichiarazione della persona offesa su un fatto che riguarda la persona offesa stessa. Il ragionamento è lo stesso che vale per la prova dell'email originale in una truffa sull'IBAN, dove la partita non si gioca sul testo del messaggio ma sulla sua autenticità e sulla sua data.
Vale la pena ricordare l'ordine di grandezza del fenomeno. Il bilancio 2025 della Polizia Postale conta 51.560 casi trattati, di cui 27.085 di criminalità informatica di matrice economico finanziaria, per un valore sottratto di 269 milioni di euro. Sul piano internazionale il Data Breach Investigations Report 2025 di Verizon attribuisce alle credenziali rubate un ruolo nel 32 per cento delle violazioni analizzate, e fa risalire il 22 per cento delle violazioni proprio all'abuso di credenziali legittime. L'accesso con credenziali valide, non l'attacco spettacolare, è il modo ordinario in cui un account cambia padrone.
Come TrueScreen certifica le tracce di un accesso abusivo
TrueScreen interviene nel passaggio che di solito manca, cioè fra il momento in cui il titolare vede le tracce sul proprio pannello e quello in cui deve consegnarle a un legale, a un'autorità o a un datore di lavoro. Le schermate delle sessioni attive, il registro degli accessi, le impostazioni alterate e i messaggi partiti dall'account vengono acquisiti con metodologia forense direttamente alla fonte, dentro un ambiente che ne impedisce l'alterazione, e non semplicemente salvati come immagini. Sull'acquisizione vengono poi apposti un sigillo digitale e una marca temporale con valore legale riconosciuto a livello internazionale, che fissano contenuto e istante e rendono rilevabile qualunque modifica successiva.
Il risultato è un fascicolo verificabile da un terzo anche a distanza di mesi, quando l'account è stato da tempo ripulito e la schermata originale non esiste più. La disciplina dell'art. 2712 c.c. applicata alla prova digitale spiega perché questo sposta la posizione processuale di chi denuncia: davanti a un'acquisizione certificata il disconoscimento generico non basta più, perché la conformità del documento non dipende dalla parola di chi lo produce. L'acquisizione è disponibile da applicazione mobile e dal portale di TrueScreen, così che la raccolta si esaurisca nella sessione che precede il ripristino delle credenziali.
Un caso ricorrente aiuta a vedere la differenza. La casella di posta di un ufficio amministrativo viene compromessa e usata per deviare un bonifico su un conto diverso. Se prima del ripristino vengono certificate la sessione estranea, la regola di inoltro automatico creata dall'attaccante e i messaggi inviati, l'azienda ha una base documentale per la querela, per la contestazione del cliente che sostiene di aver pagato e per la segnalazione all'istituto bancario. Se il ripristino arriva prima, resta la ricostruzione a memoria di chi ha visto la schermata.
