Pillole Cyber. I confini sfocati dell’accesso abusivo nella PA

Caso Software ECM: i confini dell’accesso abusivo nella PA

L’inchiesta della Procura di Milano sugli accessi abusivi ai computer dei magistrati torinesi tramite il software ministeriale Ecm solleva nodi giuridici di straordinaria complessità nel campo del Diritto penale informatico. Il coinvolgimento di tre tecnici esterni e l’intervento della Direzione Nazionale Antimafia evidenziano la vulnerabilità sistemica delle infrastrutture digitali della giustizia, portando alla luce un paradosso investigativo e normativo che merita un’attenta analisi.
Sotto il profilo strettamente penale, la vicenda ruota attorno al perimetro applicativo dell’articolo 615-ter del codice penale. Il nucleo della questione risiede nella distinzione tra l’effettiva intrusione informatica malevola e la dimostrazione sul campo di una vulnerabilità del sistema eseguita con il consenso del magistrato titolare del dispositivo.

Quando il test di vulnerabilità rischia di diventare reato

Secondo il consolidato orientamento della giurisprudenza di legittimità, il reato di accesso abusivo si configura anche quando un soggetto formalmente autorizzato all’uso del sistema vi acceda per finalità ontologicamente estranee a quelle per cui il potere gli è stato conferito. Di conseguenza, persino l’attività di verifica tecnica orientata a segnalare una falla strutturale rischia di integrare la fattispecie di reato qualora avvenga al di fuori di un protocollo ufficiale e blindato di divulgazione coordinata delle vulnerabilità.
La decisione del Ministero della Giustizia di rimuovere il software da quarantamila postazioni conferma la gravità oggettiva del difetto tecnologico, capace di consentire il controllo remoto invisibile degli schermi dei giudici. Dal punto di vista processuale, le perquisizioni informatiche e l’analisi forense sui dispositivi sequestrati saranno determinanti per verificare la sussistenza dell’elemento soggettivo in capo agli indagati e per escludere eventuali esondazioni criminali oltre le mere prove di vulnerabilità. Questo caso dimostra come la transizione digitale della pubblica amministrazione non possa prescindere da una rigorosa qualificazione giuridica delle regole d’ingaggio per i manutentori privati, per evitare che la tutela della sicurezza dello Stato si scontri con l’assenza di scriminanti chiare per chi ne evidenzia i punti deboli.