Aspetti Legali nell’Informatica Moderna

Prof. Michele Perilli Docente di Informatica Facoltà di Giurisprudenza Università degli Studi di Foggia mlperilli@gmail.com m.perilli@unifg.it

Alcuni Dati sulle frodi in Italia

•  33 milioni le carte di credito in Italia;

•  570 milioni le transazioni in un anno;

•  56 miliardi di euro il volume di affari;

•  300.000 le frodi registrate;

(Fonte Forensic Expert Training on Examination of Skimming Devices)

Fino al 2010 l’Italia era tra i paesi a basso livello di frodi

Ma le cose stanno cambiando !

2

Alcune definizioni

Chi è un hacker ?

E’ colui che entra in un sistema a scopo conoscitivo (spionaggio) ma non lo intacca

Chi è un cracker ?

E’ colui che entra in un sistema per intaccarlo o spesso anche per distruggerlo

3

Alcune definizioni

Autenticazione Informatica secondo il dlgs 196/2003

“Codice in materia di protezione dei dati personali”

•  E’ un codice di identificazione dell’incaricato + una parola chiave riservata oppure una caratteristica biometrica + una parola chiave;

•  Ogni incaricato può avere uno o più codici di autenticazione;

•  L’incaricato è obbligato a custodire ed assicurare la segretezza della parola;

•  L’incaricato non lascia sessioni aperte incustodite;

4

Alcune definizioni

Cosa si intende per:

Minaccia alla riservatezza: è il rischio di accesso improprio all’informazione da parte di soggetti non autorizzati

Minaccia all’integrità: è il rischio di cancellazioni o modifiche di informazioni a seguito sia di fatti accidentali e/o naturali, che di atti dolosi di soggetti non autorizzati

5

I reati Informatici

Con le tecnologie digitali l’informazione si svincola dal supporto e diventa assai facile poter riprodurre un contenuto; da ciò deriva anche una estrema facilità in termini di portabilità e trasferimento, soprattutto con la diffusione delle reti.

Con i vantaggi introdotti dalla rete Internet tutte le attività lavorative diventano net-centriche e quindi anche le attività illecite.

6

I reati Informatici

Le attività che tentano di limitare e contrastare il fenomeno sono due:

•  La Prevenzione (da parte dell’utente e della pubblica sicurezza)

•  La Repressione (Codice Penale)

7

I reati Informatici Prevenzione dal lato utente:

•  Informare;

•  Sensibilizzare;

•  Responsabilizzare.

Prevenzione dal lato della Polizia Postale e delle Comunicazioni:

•  Monitoraggio della rete Internet;

•  Data Retention: tenere traccia dei dati inerenti gli spostamenti degli utenti per quanto riguarda la navigazione e l’utilizzo della posta elettronica (indirizzi IP, data-ora e durata della comunicazione, log-file)

8

Reati Informatici e Codice Penale: L.547/93 (e ulteriori modifiche introdotte dalla L. 18 marzo 2008 n.48)

Legge 547/93

“Modificazioni ed integrazioni alle norme del Codice Penale e del codice di procedura penale in tema di criminalità informatica”

La prima vera normativa contro i cyber crimes si suddivide in 4 macro-aree:

1.  Frodi informatiche;

2.  Falsificazioni;

3.  Integrità dei dati e dei sistemi informatici;

4.  Riservatezza dei dati e delle comunicazioni informatiche.

9

Reati Informatici e Codice Penale le Frodi Informatiche

Art. 640 ter (“Frode informatica”):

“Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032”.

La pena è della reclusione da uno a cinque anni e della multa da euro 309 a euro 1.549 se commesso da operatore di sistema.

10

Esempio di frode informatica

Programmi Dialer:

L’utente, navigando in Internet da una rete fissa, con modem analogico o ISDN, scarica senza rendersene conto, programmi autoistallanti denominati “dialer”, che disconnettono il modem e lo ricollegano a numeri a valore aggiunto (“899”,“00”), comportando costi elevati per la chiamata.

11

Reati Informatici e Codice Penale le Falsificazioni

Art. 640 (“Truffa”):

“Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032 .“

La pena è della reclusione da uno a cinque anni e della multa da euro 309 a euro 1.549 nei casi più gravi.

12

Esempio di truffa Il Phishing

•  E’ una tecnica di Social Engineering;

•  Ha il fine di catturare informazioni personali con la finalità del furto;

•  Utilizza messaggi di posta elettronica fasulli o messaggi istantanei;

•  Tramite questi messaggi l’utente è ingannato e portato a rivelare dati personali, tipo il numero di c/c, di carta di credito, il PIN, ecc..

13

Reati Informatici e Codice Penale Integrità dei Dati e dei Sistemi Informatici

Art. 635 bis (“Danneggiamento di informazioni, dati e programmi informatici)

“Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da sei mesi a tre anni”.

Se ricorre una o più delle circostanze di cui al secondo comma dell'articolo 635, ovvero se il fatto è commesso con abuso della qualità di operatore del sistema, la pena è della reclusione da uno a quattro anni.”

Es. Attacco tipico di un cracker

14

Reati Informatici e Codice Penale Integrità dei Dati e dei Sistemi Informatici

Art. 615 quinquies (“Diffusione di apparecchiature, dispositivi, o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico”)

“Chiunque, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti o ad esso pertinenti ovvero di favorire l'interruzione, totale o parziale, o l'alterazione del suo funzionamento, si procura, produce, riproduce, importa, diffonde, comunica, consegna o, comunque, mette a disposizione di altri apparecchiature, dispositivi o programmi informatici, è punito con la reclusione fino a due anni e con la multa sino a euro 10.329”

Es. i virus

15

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

Art. 615 ter (“Accesso abusivo ad un sistema informatico o telematico”):

“Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.”

16

ESEMPIO DI VIOLAZIONE DELLA Riservatezza dei dati e

delle Comunicazioni Informatiche Accesso abusivo a sistema informatico

Violazione di un account di ebay Al fine di porre fittiziamente in vendita su Internet,

avvalendosi di un’identità non corrispondente al reale venditore, beni con l’intento di non inviarli all’acquirente, il fraudolento si appropria dell’ingiusto profitto del prezzo che di regola viene corrisposto tramite pagamenti elettronici prima dell’invio del bene.

Violazione/acquisizione indebita di un account Furto di un account di Facebook o di quello relativo ad

altre piattaforme di social network

17

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

Art. 615 quater (“Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici”):

“Chiunque, al fine di procurare a sé o ad altri un profitto o di arrecare ad altri un danno, abusivamente si procura, riproduce, diffonde, comunica o consegna codici, parole chiave o altri mezzi idonei all'accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo, è punito con la reclusione sino ad un anno e con la multa sino a euro 5.164.”

Es.: diffusione illecita di username e password

18

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

Art.617 quater (“Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche”):

“Chiunque fraudolentemente intercetta comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra più sistemi, ovvero le impedisce o le interrompe, è punito con la reclusione da sei mesi a quattro anni.

Salvo che il fatto costituisca più grave reato, la stessa pena si applica a chiunque rivela, mediante qualsiasi mezzo di informazione al pubblico, in tutto o in parte, il contenuto delle comunicazioni di cui al primo comma.”

Es. Packet sniffing, accesso a reti Wi-Fi

19

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

Art. 617 quinquies (“Installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche”):

“Chiunque, fuori dai casi consentiti dalla legge, installa apparecchiature atte ad intercettare, impedire o interrompere comunicazioni relative ad un sistema informatico o telematico ovvero intercorrenti tra più sistemi, è punito con la reclusione da uno a quattro anni.

La pena è della reclusione da uno a cinque anni nei casi previsti dal quarto comma dell'articolo 617-quater.”

20

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

UN ESEMPIO

Frode su sportello ATM (Bancomat): “Lebanese Loop”

Sullo sportello di prelievo automatico di un bancomat viene applicato un dispositivo che, una volta inserita la carta la trattiene in modo che il distributore non riesca più a restituirla. Il cliente confuso, non riesce né a completare la transazione e né a riavere la carta.

A questo punto può intervenire il truffatore che, fingendo di prestare soccorso al cliente davanti allo sportello, lo invita a digitare nuovamente il PIN consentendogli cosi di memorizzarlo.

21

Reati Informatici e Codice Penale Riservatezza dei dati e delle Comunicazioni Informatiche

UN ESEMPIO

Skimming su ATM

E' molto più diffuso e soprattutto molto più efficace del "Lebanese Loop", poichè il cliente utilizza normalmente lo sportello automatico senza rendersi conto che i dati della nuova carta vengono copiati. Questo è reso possibile da un dispositivo montato nella fessura di inserimento della carta e da una piccola telecamera montata sul pannello di controllo, che filma la digitazione del codice PIN. In realtà la fessura di inserimento della carta è coperta da un pannello creato per catturare le informazioni presenti sulla banda magnetica. Il pin può anche essere catturato attraverso una finta tastiera applicata su quella reale  

22