Furto d’identità digitale: cosa fare e quando è reato

Il furto dell’identità digitale rappresenta una tra le maggiori minacce online, destando non poche preoccupazioni da parte di chi si ritrovi ad essere vittima di un hacker che utilizzi i propri dati illegalmente.

La preoccupazione crescente in tema di cyberthreats e, più in generale, ai temi della sicurezza informatica è testimoniata anche dal fatto che quotidianamente migliaia di persone siano vittime di furto della propria identità in rete. Si pensi infatti che l’Italia si attesta al 12esimo posto a livello mondiale tra i Paesi maggiormente colpiti.

I profili social, gli indirizzi email, ma anche le credenziali SPID, CIE e CNS che servono al cittadino ad autenticarsi e accedere ai servizi della Pubblica Amministrazione, al Servizio sanitario nazionale, ma anche all’e-banking e così via, sono sotto attacco dei criminali informatici.

Il malcapitato si trova a subìre richieste estorsive di denaro per potersi riappropriare dei propri dati sensibili, la clonazione dell’ identità in rete o, ancor peggio, veder persi per sempre le password, il numero di telefono o i PIN delle carte di credito ormai spacciati nel dark web.

“E’ stato rilevato un significativo incremento delle azioni in danno di obiettivi privati e un aumento dell’impiego di malware, inclusi i ransomware, e, in concomitanza con l’invasione russa dell’Ucraina, sono stati osservati nuovi trend di attacco” ad affermarlo è l’Intelligence italiana, ovvero il Sistema di Informazione per la Sicurezza della Repubblica (SISR) nella Relazione Annuale 2022 – Sulla politica dell’informazione per la sicurezza.

Stando al report presentato alla Presidenza del Consiglio dei Ministri lo scorso febbraio 2023,Il furto di identità digitali e delle credenziali di accesso e autenticazione personali rappresenta circa il 53,5% di episodi di attacchi in rete.

Quando avviene il furto di identità digitale

I cybercriminali impegnati nel furto di identità digitale entrano in contatto con l’utente in maniera fraudolenta in diversi modi e sfruttando la credibilità della propria messa in scena al fine di far cadere in inganno la vittima.

Chi si ritrova invischiato nel furto dei propri dati, spesso racconta di aver ricevuto una comunicazione assolutamente credibile il cui mittente era la banca di riferimento, la Pubblica Amministrazione oppure un conoscente, vittima a propria volta della clonazione illecita dell’identità.

Ecco alcuni esempi di come può avvenire il furto del proprio profilo social, dello SPID, CIE e CNS, o delle credenziali di accesso dell’home banking:

• Phishing, l’utente riceve una email da un destinatario apparentemente affidabile (corrieri per le spedizioni, enti e organizzazioni, banche, P.A.) in cui viene indicato un link al quale connettersi per risolvere un presunto problema e all’interno del quale vengono richiesti i dati personali (nome, cognome, indirizzo, ma anche iban e altro);

• Whaling, analogo al phishing, intende colpire i vertici di un’organizzazione o di una realtà aziendale attraverso una finta richiesta di aggiornamento del software in uso;

• SMishing, l’invio fraudolento di sms provenienti solitamente da istituti bancari, poste oppure operatori telefonici;

• QRishing, l'adescamento della vittima passa per il collegamento ad un QR Code alterato che conduce l’utente a un successivo sito internet fraudolento;

• BEC, acronimo di Business Email Compromise, sono email di carattere lavorativo-commerciale in cui viene tratto in inganno il dipendente circa la presunta lamentela di un cliente o una richiesta di un fornitore.

• Tecniche di social engineering, sfruttando il potere di persuadere la vittima suscitando empatia con un’esca, come attraverso l’invio di messaggi e email descriventi un problema familiare, così da indurla a disporre un pagamento, a collegarsi a siti internet, installare programmi o effettuare l’accesso su portale.

• Malware, virus e keylogger, intesi come software illeciti installati con l’inganno sui dispositivi dell’utente e in grado di memorizzare la digitazione di password, pin e codici di accesso.

• Juice jacking, la pratica utilizzata dai malintenzionati abusando dell’ingenuità e affidabilità delle vittime che ricaricano il proprio smartphone attraverso prese USB pubbliche, collegando direttamente il proprio cellulare. Il meccanismo servirebbe a infettare e avere accesso direttamente e in maniera indisturbata al dispositivo, ai dati contenuti e alle password.

Cosa può fare una persona con la mia identità digitale

Il criminale online che riesca a impossessarsi dei dati, delle informazioni e dell’identità digitale della vittima dà accesso ad una combinazione infinita di conseguenze critiche.

Pensiamo infatti alla creazione di nuovi profili social che si spaccino per la vittima, inducendo in errore i contatti e gli amici di questa.

Oppure accedere ai servizi bancari, postali e assicurativi dell’utente e disporre fraudolentemente pagamenti e polizze.

Rivendere nel dark web i dati trafugati e metterli alla mercé di altri criminali.

Come prevenire il furto di identità digitale

Tutelare la propria identità online e proteggere le proprie password è sicuramente il primo passo per prevenire il furto dell’identità digitale.

Vediamo insieme alcuni modi efficaci per prevenire questi episodi:

• Cambiare frequentemente le proprie password, scegliendo combinazioni alfanumeriche di difficile captazione;
• Evitare di aprire email sospette;
• Prestare attenzione ai domini da cui provengono le email e fugare il dubbio di omonimia, spesso infatti gli indirizzi email dei mittenti sono fasulli e le comunicazioni contengono degli errori nel testo;
• Non fidarsi di allegati sospetti ricevuti;
• Non divulgare le proprie password, pin e codici su siti internet non ufficiali;
• Proteggere i propri account impostando l’autenticazione a due fattori e la verifica in due passaggi, al momento di accesso all’app o a sito di interesse l’utente sarà chiamato a utilizzare due password o autorizzare l’accesso che sta compiendo dando l’ok da un altro dispositivo in proprio possesso.

Cosa fare in caso di furto di identità digitale

Circa 11.000 persone quotidianamente sono vittime delle insidie in rete, subendo il furto del proprio profilo social, dell'indirizzo di posta elettronica o delle credenziali SPID, CIE e CNS.

Come comportarsi in caso di furto di identità digitale e a chi rivolgersi?

E’ consigliabile rivolgersi tempestivamente alle Forze dell’Ordine e sporgere denuncia. La Polizia si attiverà per la rimozione dei dati illegalmente diffusi.
Inoltre, è consigliabile segnalare l’accaduto anche al Garante della Privacy.

Nel caso in cui il furto di identità digitale riguardasse il profilo social (Facebook, Instagram ecc.), sarà utile inviare la segnalazione alla piattaforma e indicare l’episodio, invitando i propri contatti amici a segnalare il profilo non più in proprio possesso.

Analogamente, qualora il furto riguardasse i codici e le password di accesso a servizi di home banking, postali e simili, sarà necessario immediatamente disconoscere le movimentazioni illecite. Successivamente provvedere a bloccare le carte e i conti interessati.

Quando il furto di identità digitale è reato

Il Codice Penale riconduce il furto di identità digitale a due distinti tipi di reati, non esistendo una singola norma specifica.

L’art. 494 c.p., Sostituzione di Persona dispone:

“Chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato, ovvero una qualità a cui la legge attribuisce effetti giuridici, è punito se il fatto non costituisce un altro delitto contro la fede pubblica con la reclusione fino a un anno”.

Il reato di sostituzione di persona comprende anche il furto di identità digitale, nel caso in cui il profilo social venga sottratto dal malintenzionato e lo utilizzi spacciandosi per la vittima, inducendo altri in errore.

A dirlo è la Corte di Cassazione, sezione 5, sentenza 10 gennaio 2022, n. 323

“Integra il delitto di sostituzione di persona la condotta di colui che crei ed utilizzi "profili social" e "account internet" servendosi dei dati anagrafici di altra persona, esplicitamente contraria, al fine di far ricadere su quest'ultima l'attribuzione delle connessioni eseguite in rete”.

L’art. 640 ter c.p., persegue la Frode Informatica e considera il furto di identità digitale un’aggravante del reato:

“Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032. 

La pena è della reclusione da uno a cinque anni e della multa da euro 309 a euro 1.549 se ricorre una delle circostanze previste dal numero 1) del secondo comma dell'articolo 640, ovvero se il fatto produce un trasferimento di denaro, di valore monetario o di valuta virtuale o è commesso con abuso della qualità di operatore del sistema.

La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti.

Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o la circostanza prevista dall’articolo 61, primo comma, numero 5, limitatamente all’aver approfittato di circostanze di persona, anche in riferimento all’età”.

Impossessarsi del PIN della carta di credito altrui o delle password di accesso all'home banking, integra ugualmente il furto di identità digitale perchè tali elementi sono esclusivamente e personalmente riconducibili al singolo.

Così come del resto affermato dalla Corte di Cassazione, sezione 2, sentenza 27 ottobre 2022, n. 40862
“In tema di frode informatica, la nozione di "identità digitale", che integra l'aggravante di cui all'art. 640-ter, comma terzo, cod. pen., non presuppone una procedura di validazione adottata dalla Pubblica amministrazione, ma trova applicazione anche nel caso di utilizzo di credenziali di accesso a sistemi informatici gestiti da privati”.

Nel caso di specie, infatti, è stata ritenuta l'aggravante in un caso di accesso abusivo a un servizio di home banking.