Frodi online e phishing a Milano: come agire subito quando il conto viene svuotato
A Milano, le frodi online non sono più episodi isolati o truffe “artigianali”. Sono diventate un fenomeno strutturato, rapido, tecnicamente evoluto e sempre più difficile da riconoscere in tempo. Il phishing, lo smishing, i falsi portali di pagamento, i messaggi che imitano banche, aziende pubbliche o servizi sanitari colpiscono nel momento più vulnerabile: quando l’utente crede di dover risolvere subito un problema.
Il meccanismo è quasi sempre lo stesso: arriva un SMS, una mail o una comunicazione apparentemente credibile. Il testo crea urgenza, segnala un pagamento incompleto, una carta bloccata, una multa, una posizione debitoria o un accesso sospetto. Il link sembra legittimo. La pagina sembra autentica. La vittima inserisce dati, codici OTP o credenziali.
Da quel momento, la truffa non è più “online”.
È già dentro il conto corrente.
Per questo, in materia di frodi online a Milano, il tempo è il primo elemento difensivo. E il ruolo dell’avvocato penalista diventa decisivo sia per la vittima che deve agire subito, sia per chi viene coinvolto in un’indagine come presunto beneficiario dei flussi illeciti.
Phishing, smishing e frode informatica: cosa cambia nel penale
Nel linguaggio comune si parla genericamente di “truffa online”. Nel diritto penale, però, la qualificazione giuridica è decisiva.
Quando la condotta si basa su artifizi e raggiri diretti a ingannare una persona, il riferimento è l’art. 640 c.p., cioè la truffa.
Fonte normativa:
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art640
Quando invece l’autore interviene su dati, credenziali, sistemi informatici o procedure digitali, il baricentro può spostarsi sull’art. 640-ter c.p., cioè la frode informatica. È il caso tipico del phishing che consente di sottrarre credenziali bancarie, entrare nell’home banking, disporre bonifici o autorizzare operazioni non volute.
Fonte normativa:
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art640ter
La distinzione non è teorica. Incide sulla procedibilità, sulla competenza territoriale, sulle aggravanti, sulle strategie difensive e sulla possibilità di recuperare le somme.
Il caso ATM: quando la truffa si nasconde nella routine quotidiana
Uno degli esempi più chiari arriva dalla cronaca milanese. Il Giorno ha raccontato una truffa via SMS costruita attorno al sistema contactless di ATM: messaggi apparentemente riconducibili all’azienda avvisavano gli utenti di un presunto “errore Tap-Out” e chiedevano il pagamento di piccole “spese di gestione” tramite link fraudolento. ATM ha segnalato la vicenda alle autorità e il link è stato disattivato.
Link alla fonte:
https://www.ilgiorno.it/milano/cronaca/truffa-sms-atm-milano-contactless-eclipecx
Il profilo penalistico è interessante perché la truffa non punta subito su grandi somme. Punta sulla credibilità del contesto.
Chi vive a Milano usa davvero la metropolitana.
Molti pagano davvero con carta contactless.
Un errore di lettura al tornello può sembrare plausibile.
La forza del phishing moderno è proprio questa: non inventa mondi impossibili, ma manipola situazioni ordinarie. Il cittadino non viene ingannato da una promessa assurda, ma da una comunicazione che appare coerente con un gesto quotidiano.
Per lo Studio Penale Boccia, casi di questo tipo mostrano l’importanza di agire nelle prime ore: conservare l’SMS, non cancellare il link, bloccare la carta, disconoscere l’operazione, raccogliere la prova digitale e presentare una denuncia tecnicamente completa.
Attacco al portale sanitario: quando il dato rubato rende la truffa credibile
Un secondo caso, ancora più delicato, riguarda l’attacco hacker a una piattaforma sanitaria privata milanese che metteva in contatto medici e pazienti. Secondo quanto riportato da Il Giorno, centinaia di utenti avrebbero ricevuto email da una falsa società di recupero crediti, con richieste di pagamento relative a prestazioni sanitarie realmente effettuate. Regione Lombardia ha precisato che non risultavano compromissioni dei sistemi pubblici centrali, mentre la Polizia Postale ha avviato le indagini.
Link alla fonte:
https://www.ilgiorno.it/milano/cronaca/attacco-hacker-paziente-consapevole-a34y1h6y
Qui il salto di qualità è evidente. Non siamo davanti a un messaggio generico, ma a una comunicazione costruita su dati personali e sanitari verosimili. La vittima non riceve un’email qualsiasi: riceve una richiesta che contiene informazioni apparentemente compatibili con la propria storia clinica.
Dal punto di vista penale, possono emergere più reati: accesso abusivo a sistema informatico, frode informatica, trattamento illecito di dati, tentata estorsione informatica e, nei casi più gravi, responsabilità anche sul piano della sicurezza aziendale.
Il riferimento all’accesso abusivo è l’art. 615-ter c.p.:
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art615ter
Questa vicenda dimostra un punto centrale: oggi il phishing più pericoloso non è quello scritto male. È quello costruito bene. E quando il messaggio contiene dati reali, la capacità della vittima di riconoscere l’inganno si riduce drasticamente.
La Legge Cybersicurezza 2024: pene più severe e rischio anche per le imprese
La Legge 28 giugno 2024, n. 90 ha rafforzato il sistema penale in materia di cybersicurezza, intervenendo su più reati informatici e introducendo un trattamento più severo per condotte come accessi abusivi, danneggiamenti informatici ed estorsioni digitali.
Fonte ufficiale:
https://www.gazzettaufficiale.it/eli/id/2024/07/02/24G00106/sg
La novità è importante soprattutto per le imprese. Un attacco informatico non produce solo danni economici e reputazionali: può aprire scenari di responsabilità penale e, in alcuni casi, anche responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
Per un’azienda milanese, subire o gestire male un attacco phishing significa esporsi a più livelli di rischio: blocco operativo, perdita di dati, richieste risarcitorie, indagini penali e contestazioni sulla mancata adozione di protocolli adeguati.
La prevenzione, in questo settore, è già difesa.
Vittima di phishing: cosa fare nelle prime ore
Quando ci si accorge di essere caduti in una frode online, il primo errore è perdere tempo.
La vittima deve agire immediatamente su tre fronti: banca, prova digitale e denuncia.
Prima di tutto occorre bloccare carte, home banking e strumenti di pagamento, chiedendo il disconoscimento delle operazioni. Subito dopo bisogna conservare ogni elemento utile: SMS, email, link, ricevute, numeri telefonici, coordinate bancarie, screenshot, indirizzi web e comunicazioni con il presunto ente.
La denuncia, però, non deve essere generica.
Dire “mi hanno truffato online” spesso non basta. Una querela efficace deve indicare con precisione i passaggi della frode, le operazioni non autorizzate, il percorso del denaro, gli strumenti usati e i dati tecnici disponibili.
Qui l’intervento dell’avvocato penalista a Milano serve a trasformare il racconto della vittima in un atto utile per l’indagine: ordinato, documentato, tecnicamente leggibile e orientato al possibile sequestro delle somme.
Money mule: quando chi riceve il denaro non è sempre il truffatore
Nelle frodi online, l’indagine spesso parte dai flussi finanziari. La Polizia Giudiziaria individua il conto su cui sono arrivate le somme e risale all’intestatario. Da lì può nascere un’accusa per concorso in frode informatica, riciclaggio o ricettazione.
Ma attenzione: il titolare del conto non è automaticamente l’autore del phishing.
Molti soggetti vengono usati come “money mule”: prestano o mettono a disposizione un conto, una carta o credenziali, talvolta perché raggirati da false offerte di lavoro, promesse di guadagno o richieste apparentemente lecite.
La difesa deve quindi lavorare sull’elemento soggettivo: cosa sapeva davvero l’indagato? Era consapevole della provenienza illecita delle somme? Ha partecipato alla creazione del link fraudolento? Ha ricevuto un compenso? È stato a sua volta manipolato?
Nel processo penale, il semplice transito del denaro non dovrebbe diventare automaticamente prova di colpevolezza.
Competenza territoriale: perché il processo non è sempre a Milano
Un tema spesso trascurato riguarda il luogo del processo.
Nelle frodi informatiche commesse via internet, la competenza territoriale può essere complessa. Non sempre coincide con il luogo in cui vive la vittima o con la sede della banca. In alcuni casi, la giurisprudenza valorizza il luogo di residenza dell’imputato quando non è possibile individuare con precisione dove si sia consumata la condotta online.
Questo profilo può diventare un punto difensivo rilevante.
Eccepire correttamente l’incompetenza territoriale può incidere sull’intero procedimento, trasferendo il fascicolo e imponendo una nuova valutazione degli atti.
È uno dei motivi per cui la difesa nelle frodi online non può essere improvvisata: non si tratta solo di “spiegare i fatti”, ma di leggere il procedimento nei suoi punti tecnici.
Prova digitale: IP, log e screenshot non bastano da soli
Nei procedimenti per phishing e frodi online, l’accusa lavora spesso su IP, log di accesso, dati bancari, intestazioni telefoniche, dispositivi sequestrati e screenshot.
Ma ognuno di questi elementi deve essere interpretato correttamente.
Un indirizzo IP identifica una connessione, non necessariamente la persona fisica che ha commesso il reato. Un conto corrente identifica un rapporto bancario, non automaticamente l’autore del raggiro. Uno screenshot documenta un contenuto, ma non sempre ne garantisce autenticità, integrità e provenienza.
La difesa deve verificare la catena di custodia, l’acquisizione dei dati, la presenza di VPN, spoofing, accessi terzi, furti d’identità, malware o utilizzi abusivi di documenti.
Nel cybercrime, la prova sembra tecnica.
Ma se non viene letta bene, può diventare solo un’ipotesi vestita da certezza.
Frodi online e aziende: il fattore umano come vulnerabilità
Molti attacchi informatici non passano da sofisticati sistemi di intrusione, ma da un errore umano: un dipendente che clicca un link, apre un allegato, inserisce credenziali, autorizza un pagamento.
Questo vale per enti pubblici, imprese, studi professionali e strutture sanitarie. L’articolo de Il Giorno sui rischi informatici per gli enti pubblici evidenzia proprio la centralità del “fattore umano” e della cyber hygiene nelle organizzazioni lombarde.
Fonte:
https://www.ilgiorno.it/milano/cronaca/enti-pubblici-e-rischi-9020fe18
Per un’impresa, il problema non è solo subire la frode. È dimostrare di aver fatto tutto il possibile per prevenirla: formazione, protocolli interni, doppie autorizzazioni, gestione degli accessi, procedure di emergenza e aggiornamento del modello organizzativo.
Lo Studio Penale Boccia interviene anche in questa fase preventiva, perché nei reati informatici la linea tra sicurezza, responsabilità aziendale e processo penale è sempre più sottile.
Frodi online a Milano: agire subito per proteggere prove, denaro e diritti
Nelle frodi online, il tempo è il primo vero campo di battaglia. Ogni minuto può incidere sulla possibilità di bloccare un pagamento, ricostruire un passaggio digitale, identificare un conto di appoggio o contestare una ricostruzione accusatoria troppo automatica.
Per questo, sia la vittima sia l’indagato hanno bisogno di un intervento rapido, tecnico e strategico. La prova va conservata correttamente, le operazioni vanno documentate e ogni iniziativa deve essere costruita con metodo fin dalle prime ore.
Lo Studio Penale Boccia, con sede a Milano e operante su tutto il territorio nazionale, assiste privati, professionisti e imprese nei procedimenti legati a phishing, truffe digitali, frodi informatiche e reati online, offrendo tutela alle vittime e difesa agli indagati.
Indirizzo: Milano, via Solferino 24 (MM Moscova – Linea Verde)
Telefono: +39 0287177638
Email: info@studiopenaleboccia.it
Perché nelle frodi online non basta accorgersi del danno.
Conta reagire subito, con lucidità, competenza e una strategia penale costruita prima che le tracce digitali spariscano.
Fonti esterne
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art640
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art640ter
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art615ter
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2021-11-08;184~art2
- https://www.gazzettaufficiale.it/eli/id/2024/07/02/24G00106/sg
- https://www.ilgiorno.it/milano/cronaca/truffa-sms-atm-milano-contactless-eclipecx
- https://www.ilgiorno.it/milano/cronaca/attacco-hacker-paziente-consapevole-a34y1h6y
- https://www.ilgiorno.it/milano/cronaca/enti-pubblici-e-rischi-9020fe18
