Il gestionale aziendale mostra accessi che nessuno riconosce e alcuni file hanno cambiato nome: potrebbe trattarsi di un reato informatico, ma un’anomalia da sola non basta a stabilire quale. La distinzione dipende da ciò che è successo ai sistemi o ai dati e, per un’impresa, può aprire anche un percorso separato di gestione della violazione di dati personali.
Un incidente digitale può avere conseguenze penali e obblighi distinti
- Accesso abusivo: entrare o restare senza diritto in un sistema protetto può ricadere nell’articolo 615-ter del Codice penale.
- Frode e danneggiamento: alterare un sistema per ottenere un profitto e cancellare o rendere inutilizzabili dati sono condotte diverse.
- Prima risposta: limita la connessione dei dispositivi coinvolti, conserva log e messaggi e coinvolgi chi gestisce la sicurezza IT.
- Dati personali: la notifica al Garante segue criteri e tempi propri, separati dalla denuncia del reato.
- Pre-denuncia online: il servizio sperimentale riguarda alcuni reati e territori; per completarla è richiesto un passaggio in un ufficio di polizia.
Accesso abusivo, frode e danno ai dati descrivono fatti diversi
Un login insolito alle tre di notte, un bonifico autorizzato con un falso messaggio del fornitore e un archivio cancellato possono sembrare tutti “hackeraggio”. Sul piano giuridico, però, non indicano automaticamente lo stesso reato, e la differenza dipende dalla condotta e dalle sue conseguenze.
L’articolo 615-ter del Codice penale riguarda l’accesso abusivo a un sistema informatico o telematico protetto da misure di sicurezza, oppure la permanenza al suo interno contro la volontà di chi può escludere l’intruso. La frode informatica dell’articolo 640-ter richiede invece un intervento senza diritto sul sistema o sui dati che procuri un profitto ingiusto con danno altrui. Se vengono distrutti, cancellati o resi inutilizzabili dati o programmi, può entrare in gioco anche il danneggiamento informatico. Una sola intrusione può richiedere di valutare più condotte, non una sola etichetta.
Per un’impresa, questa distinzione evita un errore pratico: descrivere alla polizia un “attacco hacker” senza indicare cosa è stato osservato. Credenziali usate da una persona sconosciuta, ordini di pagamento modificati e documenti sottratti sono indizi diversi; annotarli separatamente aiuta a ricostruire la sequenza.
Nel 2025 gli attacchi alle aziende rientravano in un quadro più ampio
Una piccola impresa può pensare che gli attacchi informatici riguardino soltanto grandi gruppi o infrastrutture strategiche. Il bilancio della Polizia Postale, riferito al periodo dal 1° gennaio al 21 dicembre 2025, include tra i destinatari di eventi di computer crime anche aziende e privati: ne registra 9.250, insieme a infrastrutture critiche e soggetti pubblici.
Il dato non significa che ogni evento fosse un reato accertato, né indica la probabilità che una singola azienda venga colpita: conta gli eventi trattati dalla Polizia Postale nel periodo indicato. Lo leggo come un motivo per inserire la risposta agli incidenti nella continuità operativa: se il sistema di fatturazione si blocca o le credenziali del conto vengono sottratte, il problema coinvolge anche consegne, pagamenti e rapporto con i clienti.
Le prime mosse proteggono i dati e aiutano a ricostruire l’accaduto
La schermata con la richiesta di riscatto invita a fare in fretta, ma cancellare le tracce può rendere più difficile ricostruire l’attacco. La priorità è contenere il danno senza improvvisare interventi che sovrascrivano log, messaggi o file utili.
- Avvisa subito il referente IT e chi coordina la risposta agli incidenti. Se il referente non è disponibile, contatta il fornitore che gestisce sistemi e reti.
- Isola i dispositivi sospetti dalla rete, seguendo le indicazioni tecniche ricevute. Evita di collegare chiavette o backup a un computer che potrebbe essere compromesso.
- Conserva le prove: salva email originali, messaggi, schermate, orari, notifiche bancarie e registri di accesso. Non cancellare o ripristinare i sistemi prima di aver valutato come preservare i dati tecnici.
- Annota gli effetti osservati: quali servizi sono fermi, quali account risultano coinvolti e se sono stati eseguiti pagamenti non riconosciuti o copiati file.
- Contatta le forze dell’ordine e informa le funzioni aziendali responsabili di privacy, legale e continuità operativa.
La tabella aiuta a scegliere la prima risposta in base ai segnali disponibili; non sostituisce l’analisi tecnica o la valutazione legale.
| Situazione osservata | Possibile conseguenza | Cosa fare |
|---|---|---|
| Accessi da account o orari insoliti | Uso non autorizzato delle credenziali o accesso abusivo | Disabilita l’account coinvolto con il supporto IT e conserva i log degli accessi. |
| Coordinate bancarie del fornitore cambiate in email o fattura | Possibile frode o tentativo di dirottare un pagamento | Verifica le coordinate usando un recapito già noto e avvisa subito la banca se il bonifico è partito. |
| File cifrati, cancellati o non più accessibili | Possibile malware o danneggiamento dei dati | Isola i sistemi interessati, conserva il messaggio di riscatto e controlla i backup da un ambiente separato. |
| Dati di clienti o dipendenti visibili a soggetti non autorizzati | Possibile violazione di dati personali, oltre all’eventuale reato | Coinvolgi chi gestisce la privacy e valuta il rischio per le persone interessate. |
Non pagare né promettere un riscatto sulla base della sola schermata: non prova che i dati saranno restituiti o che non verranno divulgati. La decisione richiede assistenza tecnica e legale, oltre a un confronto con le autorità competenti.
Denuncia e notifica privacy seguono percorsi distinti
Un reato informatico e una violazione di dati personali possono nascere dallo stesso incidente, ma gli adempimenti non coincidono. Il Garante per la protezione dei dati personali indica che il titolare deve notificare una violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza, quando è probabile un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, può essere necessario informare anche gli interessati.
Le regole di notifica informatica della Legge 90/2024 riguardano invece i soggetti individuati dalla norma e gli incidenti che rientrano nelle categorie previste. Per questi destinatari, la legge fissa una segnalazione entro 24 ore e una notifica completa entro 72 ore. Non è una scadenza generalizzata per tutte le imprese italiane: prima di applicarla, occorre verificare se l’organizzazione rientra nel perimetro interessato.
Anche il canale online per la pre-denuncia ha limiti precisi: la Polizia di Stato lo indica come sperimentale presso uffici e strutture del Lazio, per alcune fattispecie tra cui frode informatica e accesso abusivo. La procedura va formalizzata presso un ufficio di polizia entro le successive 48 ore; se il servizio non è disponibile nel proprio territorio o il fatto non rientra tra quelli ammessi, la pre-denuncia non sostituisce il contatto diretto con le forze dell’ordine.
Io considero questa separazione la parte più facile da trascurare: denunciare il fatto non chiude automaticamente il percorso privacy, e notificare una violazione al Garante non equivale a presentare una denuncia. Per una valutazione del caso concreto, questo testo ha carattere informativo e non sostituisce la consulenza di un avvocato o di un professionista privacy.
Processi digitali efficienti hanno bisogno di controlli semplici
Digitalizzare fatture, ordini e archivi riduce passaggi manuali e sprechi, ma concentra più attività in account e sistemi condivisi. Un profilo amministrativo compromesso, per esempio, può esporre pagamenti e documenti insieme; per questo considero più utile assegnare accessi per ruolo e attivare l’autenticazione a più fattori che affidarsi a una sola password complessa.
Per contenere gli effetti di un incidente, l’azienda può preparare una lista breve e mantenuta aggiornata: chi chiamare, quali servizi isolare, dove trovare i backup e chi decide se informare clienti o autorità. Le copie di sicurezza dovrebbero essere protette dall’accesso ordinario e verificate con prove di ripristino: un backup mai testato è soltanto una promessa.
La sicurezza non richiede di fermare l’innovazione digitale. Richiede di sapere quali processi dipendono da ciascun sistema e di poterli ripristinare senza perdere le prove dell’incidente; così l’efficienza resta utile anche quando qualcosa va storto.
Una risposta pronta riduce il caos quando il sistema si ferma
Quando compare un accesso sconosciuto o spariscono dei file, la prima domanda non è soltanto “quale reato è?”. Occorre capire che cosa è stato toccato, contenere l’incidente, conservare le evidenze e verificare gli obblighi applicabili. Una procedura breve, assegnata a persone precise e provata in anticipo rende questi passaggi più gestibili e protegge la continuità dell’impresa.