Cassazione Penale, Sentenza n. 2682/2023 del 23/01/2023

Esito

La controversia

La ricorrente ha impugnato la sentenza per vizio di motivazione e per errata applicazione dell'art. 640-ter c.p., contestando la mancanza, contraddittorietà e manifesta illogicità della motivazione. I giudici di merito si erano limitati a rilevare che la somma sottratta alla persona offesa era stata accreditata su una PostePay intestata alla ricorrente, senza individuare elementi che dimostrassero chi avesse inviato il link/sms/mail fraudolento che ha permesso l'accesso abusivo al conto della vittima.

La decisione

La Corte di Cassazione ha accolto il ricorso ritenendolo fondato. Ha affermato che la mera titolarità della carta/utenza beneficiaria dell'accredito non è di per sé sufficiente a provare la responsabilità penale per frode informatica (art. 640-ter). In assenza di ulteriori elementi indiziari che colleghino la ricorrente all'invio della comunicazione contenente il link fraudolento, i giudici di merito non hanno adeguatamente provato l'intervento dell'imputata. Per la natura esclusivamente indiziaria del materiale probatorio e la completa disamina già svolta, la Corte ha annullato senza rinvio la sentenza impugnata e ha prosciolto l'imputata con la formula "perché il fatto non sussiste".

Norme richiamate

• art. 640-ter cod. pen.

  Norma che punisce la frode informatica realizzata mediante l'accesso abusivo o la manipulazione di sistemi informatici/telematici; la Corte interpreta che, in reati di phishing, per attribuire responsabilità al beneficiario dell'accredito è necessario dimostrare il suo ruolo nell'invio della comunicazione fraudolenta o altri elementi indiziari concreti che lo colleghino all'illecito.

• art. 606, comma 1, lett. b) ed e) cod. proc. pen.

  Prevede i motivi di ricorso per cassazione relativi a errori di applicazione della legge penale e vizi della motivazione (contraddittorietà, illogicità, carenza). La Corte ha ritenuto il motivo fondato perché la motivazione dei giudici di merito era carente e apodittica.

• Orientamento giurisprudenziale (Sez. 2, n. 19839 del 9/5/2019, U.D.)

  Consolidato principio di legittimità secondo cui la sola titolarità della carta/utenza beneficiaria dell'accredito illecito non basta a fondare la responsabilità penale del titolare senza ulteriori elementi che provino l'invio della mail/sms contenente il link fraudolento o altri indizi concreti.

Massime di principio

• In casi di phishing/frode informatica, la semplice titolarità di un conto o di una carta su cui sono confluiti fondi illeciti non prova di per sé la responsabilità penale; occorrono elementi che colleghino il titolare all'azione fraudolenta (invio del link, controllo operativo del conto, comunicazioni, tracce digitali).
• Il giudice deve motivare specificamente gli elementi fattuali alla base della decisione: l'adozione apodittica della sentenza di primo grado senza integrazione argomentativa può essere viziata e capace di determinare l'annullamento.
• Quando la carenza probatoria è tale da non poter essere colmata da un nuovo esame (processo indiziario con analisi completa delle prove già effettuata), la Cassazione può annullare senza rinvio e disporre l'assoluzione per non aver commesso il fatto.
• Per accertare la responsabilità in reati informatici è utile acquisire ed esaminare elementi tecnici quali log dei server, indirizzi IP, tracciamento degli invii di mail/sms, dati di geolocalizzazione, interrogazioni ai gestori di servizi e attività di digital forensics.
• In sede di difesa è strategico contestare la connessione causale tra accredito e azione dell'imputato, richiedendo l'acquisizione delle prove tecniche e sottolineando eventuali alternative spiegazioni (furto d'identità, utilizzo improprio da terzi, intermediari).