PHISHING – COSA DICE LA CASSAZIONE

Cassazione, sentenza n. 24211/2021

“Si osserva che il precedente richiamato dalla Difesa, fissa un principio che opera in astratto, ma che non appare riferibile al — diverso — caso di specie.

In quella pronuncia (Sez. 2, n. 21987 del 14/01/2019, Rv. 276533) invero, si afferma che il delitto di cui all’art. 615-quater cod. pen. non può concorrere e, dunque, deve essere dichiarato assorbito in quello, più grave, di accesso abusivo a sistemi informatici di cui all’art. 615-ter cod. pen., del quale costituisce naturalisticamente un antecedente necessario, quando questo risulti integrato nel medesimo contesto spazio-temporale in cui sia stato perpetrato l’antefatto ed in danno della medesima persona offesa.

Nel caso di specie, invece, […] emerge che i diversi reati di cui all’art. 615-quater cod. pen. ascritti all’imputato, si sono perfezionati attraverso l’abusiva riproduzione di parole chiave o altri mezzi di accesso a sistemi informatici, con il fine di procurarsi un profitto, in questo caso peculiare, messa a segno mediante le condotte di cui al capo a), cioè con attività di cd. phishing, mediante inoltro di messaggi ai clienti, riproducenti richieste di dati personali, sensibili o bancari, o creando portali clonati, situati su server controllati da [omissis], con utilizzo di grafica e simboli che richiamavano i siti web ufficiali delle società e istituti di credito da cui, apparentemente, provenivano i messaggi di posta elettronica. Con tale condotta, creando mezzi idonei ad accedere al sistema informatico relativo ai vari conti correnti on line delle diverse persone offese indicate nelle imputazioni. Diversamente, i reati di accesso abusivo ai sistemi informatici cui all’art. 615-ter cod. pen. contestati nel caso al vaglio, sono risultati perfezionati in momenti diversi, attraverso l’abusiva introduzione nel sistema informatico delle varie società (istituti di credito o anche delle società Paypal, Mastercard, Visa, Carta Si) già protetto da misure di sicurezza, così accedendo, attraverso la (diversa) condotta descritta, al conto corrente on line dei singoli clienti e contro la volontà di questi, con distinta attività posta in essere ai danni delle società titolari dei sistemi informatici violati. Sicché, a fronte dell’esistenza di condotte poste in essere in momenti e nei confronti di persone offese diverse, non può concludersi per il prospettato assorbimento delle fattispecie, come indicato dal ricorrente”