L’espansione a macchia d’olio dei social network e lo sviluppo degli strumenti e delle finalità attraverso cui si declina il loro utilizzo è una conferma del loro essere imprescindibili nel contesto delle attività quotidiane, private e professionali. Se i benefici del possesso di un account social sono tangibili, è altrettanto vero che la vulnerabilità correlata alla diffusione di informazioni personali di varia natura presta il fianco ad attacchi informatici finalizzati alla sottrazione degli account, con lo scopo precipuo di appropriarsi dell’identità di altri soggetti e carpire informazioni riservate che, nella maggior parte dei casi, riguardano l’aspetto economico-finanziario.
Furto d’identità digitale: cos’è, come avviene e come tutelarsi
Quanto è facile essere vittima di furti e violazioni sui social
La facilità con cui gli illeciti vengono perpetrati è disarmante. Secondo il Rapporto “Censis-DeepCyber” sulla sicurezza informatica in Italia, pubblicato nell’aprile 2022, l’81,7% della popolazione italiana teme di risultare facile preda di furti e violazioni dei propri dati personali sul web, mentre quasi l’11% ha scoperto, sui social, account fake con i propri nome, cognome ed immagine. Negli ultimi quattro anni, Facebook ha subito tre diversi attacchi informatici, che hanno provocato la violazione dei dati personali di oltre 500 milioni di iscritti (gli italiani coinvolti sarebbero stati 35 milioni).
La situazione non migliora se ci si sposta su LinkedIn: sarebbero, infatti, oltre 500 mila i profili oggetto di “furto” e violazioni, con la conseguente vendita dei dati sul “dark web”. In seguito ai gravi episodi verificatisi, è intervenuta anche l’Autorità garante di protezione dei dati personali (di seguito “Garante Privacy”) con l’obiettivo di sensibilizzare gli utenti e richiedere ai colossi di turno di rendere immediatamente disponibile un servizio che consenta a tutti gli utenti italiani di verificare se la propria numerazione telefonica o il proprio indirizzo mail siano stati interessati dalla violazione. Il numero di telefono memorizzato sul social potrebbe, infatti, essere utilizzato per chiamate e messaggi indesiderati sino a serie minacce come il cosiddetto “SIM swapping”, una tecnica di attacco che consente di avere accesso al numero di telefono del legittimo proprietario e violare determinate tipologie di servizi online che usano il numero di telefono come sistema di autenticazione
Il Garante Privacy ha, inoltre, richiamato[1] l’attenzione di tutti gli utenti sull’importanza di diffidare di eventuali messaggi di testo provenienti dal numero di telefono di persone conosciute, tramite i quali vengano chiesti denaro, soccorso di qualsiasi natura o dati personali.[2]
La circostanza che, attraverso la creazione di un account social, indipendentemente dall’inserimento di immagini, vengano pubblicate in rete informazioni riconducibili ad un soggetto determinato[3] si riflette chiaramente sui profili di responsabilità che coinvolgono la persona iscritta al social network. Pare, pertanto, di fondamentale importanza salvaguardare la propria identità personale, mediante azioni proattive che tutelino il nome, il cognome, l’immagine e tutte le informazioni registrate nei sistemi informatici a protezione, più in generale, del diritto del singolo a mantenere il controllo sulla rappresentazione che ha di sé agli occhi della società.
Le condotte che determinano il furto di account social
Seppure nel nostro ordinamento il furto di account social non sia condotta tipizzata, è altrettanto vero che essa potrebbe rientrare tanto nel reato di sostituzione di persona, di cui all’art. 494 c.p., quanto nella fattispecie di frode informatica descritta dall’art. 640 ter c.p.
Nel primo caso, difatti, l’autore si sostituisce ad altro soggetto illegittimamente, attribuendosi il nome, la posizione civile o politica o la capacità di agire di un altro individuo non corrispondenti a verità o ancora qualità appartenenti e riferibili ad altro soggetto realmente esistente; la responsabilità penale della sostituzione di persona è suscettibile di configurarsi, anche se le finalità verso cui il reo tende, non determini necessariamente un danno di natura patrimoniale. Esempio emblematico è quello dell’hacker che, utilizzando l’account di posta elettronica, chieda ai contatti di fornirgli i loro dati personali. Nel secondo caso, il furto dell’identità dell’utente è soltanto un’aggravante della fattispecie tipizzata, che si realizza allorché un soggetto, alterando in qualunque modo un sistema informatico, riesca a procurarsi un ingiusto profitto con conseguente pregiudizio per la vittima, come accade nel caso di utilizzo di carte di credito clonate. Come illustrato, dunque, appare complesso far rientrare la condotta del furto dell’account social nell’una o nell’altra fattispecie, dal momento che le norme richiedono la perpetrazione di comportamenti specifici cui ricollegare le pene previste. Per tali ragioni, il fenomeno assume connotati di particolare gravità.
Rischi derivanti dal furto dell’identità virtuale
I rischi discendenti dal furto di un account social riguardano plurimi aspetti del contesto relazionale in cui si colloca l’individuo: il profilo reputazionale, per l’ipotesi in cui i dati personali della “vittima” vengano strumentalizzati mediante la pubblicazione di contenuti falsi e/o diffamatori che espongono la persona a responsabilità anche di natura penale. La Corte di Cassazione[4], ad esempio, ha recentemente chiarito che il titolare di un profilo Facebook, sul quale risultino pubblicati post lesivi dell’altrui reputazione – in quanto riferibili al titolare – risponde del reato di diffamazione, a meno che non abbia provveduto a denunciare un accesso abusivo da parte di terzi cui si ricollega il “furto di identità”; l’aspetto economico, quando i dati contenuti nel profilo social siano utilizzati per consumare frodi bancarie ed economiche, attraverso l’impiego delle password che, molto spesso, sono memorizzate dagli utenti, per l’accesso ad altri account personali che permettono di usufruire di carte di credito e conti correnti. Le tecniche impiegate per l’appropriazione di informazioni riferibili ad altri soggetti sono ormai divenute sempre più sofisticate, complice lo sviluppo degli strumenti tecnologici a disposizione.
Tra i metodi più utilizzati:
- la clonazione della carta di credito effettuata durante l’operazione di prelievo;
- il recupero di informazioni fiscali, estratti conto, bollette o qualsiasi altra documentazione riportante informazioni personali;
- l’invio di messaggi che invitano a “cliccare” su link adducendo i più disparati pretesti, tramite i quali si dà avvio a delle vere e proprie azioni di “phishing”.
Trattasi, come noto, di truffa informatica realizzata mediante l’invio di e-mail che sembrano inviate da soggetti (persone fisiche o giuridiche) realmente esistenti e che segnalano al destinatario inesistenti problemi al server dell’istituto bancario o la necessità di curare l’aggiornamento dei propri dati. Un uso incauto del profilo social, dunque, può cagionare pesanti ripercussioni non solo per le persone fisiche, ma anche per le aziende, soprattutto nel caso in cui l’iscrizione al social network sia finalizzata alla sponsorizzazione di prodotti alle stesse correlati, con i conseguenti danni reputazionali anche in capo alle imprese.
I rimedi possibili
La tutela dell’identità presente sull’account social passa necessariamente attraverso strumenti di prevenzione prima ancora che di azioni rimediali. Nella malaugurata ipotesi in cui ci si ravveda di aver subito il furto del proprio account social, è necessario che tale circostanza sia segnalata tempestivamente al centro assistenza del social network in questione, con il fine di ottenere l’eliminazione del profilo fake che faccia uso abusivo dei propri dati o il blocco del profilo “reale” illegittimamente utilizzato, unitamente alla presentazione di una diffida formale, indirizzata al social network, tramite la quale richiedere la pronta rimozione del profilo o il blocco definitivo.
Pare opportuno, inoltre, chiedere a terzi soggetti di propria conoscenza di segnalare, a loro volta, l’abuso. A questo punto, il social network di riferimento dovrebbe attivare una procedura volta a verificare la veridicità o meno del profilo e, successivamente, procedere all’eliminazione. Inoltre, il social network dovrà indicare all’utente, in modo chiaro e comprensibile, le finalità, le modalità e la logica del trattamento dei dati, i soggetti cui sono stati comunicati o che potrebbero venire a conoscenza delle informazioni stesse.
Al di là, poi, delle modalità pratiche attraverso le quali segnalare la condotta abusiva maturata, è importante sottolineare che la salvaguardia dell’identità digitale si realizza, da una parte mediante l’utilizzo di sistemi di sicurezza informatica che inibiscono l’accesso ed il conseguente utilizzo di informazioni riservate; dall’altro, attraverso la previsione normativa di principi e regole comuni per gli operatori che garantiscano la liceità del trattamento e la prevenzione di condotte similari. Mantenere il controllo dei propri dati personali sul web assume peculiare rilevanza sia per evitare i rischi legati al furto d’identità, sia per procedere alla definizione di un’identità digitale coerente alla realtà. Soluzioni efficaci possono essere integrate da sistemi di autenticazione a due fattori e misure di cyber security affidabili nella prevenzione e nel blocco di malware, comunicazioni di phishing o altre tipologie di attacchi informatici.
Conclusioni
Va certamente rimarcato che applicare misure a protezione della sicurezza dei propri dati online è il primo passo per evitare che un hacker possa sottrarre facilmente il profilo social e prevenire i rischi di cui si è ampiamente discusso. Occorre prestare particolare attenzione rispetto all’eventualità che certe immagini o certe informazioni rimangano sul web ed entrino nella disponibilità di soggetti che possano farne uso indebito. Pertanto, è di vitale importanza limitare al massimo la disponibilità di informazioni, soprattutto rispetto all’indicizzazione da parte dei motori di ricerca. Utilizzare identificativi diversi (login e password) da quelli impiegati su altri siti web (quali quelli per la posta elettronica o per la gestione del conto corrente bancario) può rappresentare una misura utile a limitare il pregiudizio derivante dall’eventualità che l’account social venga “violato”.↑
Note
- fr. “Furto di dati da Facebook: il Garante chiede al social network di adottare misure per limitare i rischi e avverte che l’utilizzo dei dati provenienti dalla violazione è illecito. Utenti invitati a prestare particolare attenzione a possibili anomalie sui propri cellulari” del 06.04.2021, disponibile al seguente URL: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9572143↑
- Secondo lo studioso olandese Arnold Roosendaal: “Una persona digitale è la rappresentazione digitale di un individuo reale, che può essere connessa a questo individuo reale e comprende una quantità sufficiente di dati (rilevanti) per essere usata, in uno specifico ambito e ai fini del suo utilizzo, come delega dell’individuo”. ↑
- Cfr., Corte di Cassazione, Sez. V penale, sent. n. 39805 del 20.10.2022, in OneLegale. ↑
