Lotta al cybercrime. Intervista esclusiva al magistrato a caccia delle nuove mafie

Le organizzazioni criminali assoldano personale attraverso mail, community, forum e chat per rubare denaro grazie al phishing. In questi ambiti si sono mosse le due ultime indagini coordinate dal Pubblico Ministero Francesco Cajani, che ha accettato di rispondere in esclusiva alle domande di Of. Cajani è Sostituto procuratore della Repubblica presso il Tribunale di Milano, pool reati informatici. Sui temi attinenti alle indagini in materia di cybercrime sono stati pubblicati suoi interventi in convegni nonché sue note a sentenze su riviste giuridiche. E’ coautore di un volume su phishing, furto di identità e sicurezza bancaria edito da Giuffrè (Leggi qui) ed è stato relatore all’ultimo Digital PhishNet, conferenza mondiale sul tema tenutasi a San Diego lo scorso settembre (Leggi qui in formato PDF). Recentemente, in occasione di un convegno organizzato da OLAF, l'ufficio europeo per la lotte anti-frode, sulla responsabilità amministrativa delle persone giuridiche per i crimini informatici, ha anche presentato una simulazione di un attacco informatico agli uffici del Palazzo di Giustizia di Milano, con risultati a dir poco sorprendenti (leggi qui)

Of: Dottor Cajani, lei che di cybercriminali ne ha fatti condannare un bel po’ … chi sono questi criminali?
CAJANI: Beh, più che su di loro direi che forse è meglio concentrarsi sulle diverse tipologie di crimine che vengono oggi commesse attraverso Internet. Perché in realtà possiamo parlare di fenomeni diversi, anche se tecnologicamente tutti assimilabili.

Of: Vale a dire?
CAJANI:Se ci concentriamo sulle truffe ai danni dei correntisti o più in generale dei consumatori, il fenomeno iniziale è quello dello spam ovvero delle e-mail spazzatura che ingolfano i computer di tutti. Si tratta di messaggi di posta elettronica inviati a pioggia a milioni di persone,

Of: … spesso scritti in un italiano zoppicante…
CAJANI:… ma via via sempre più raffinati e in tutto simili ad ipotetiche comunicazioni veritiere, che invitano a collegarsi a siti clone di banche o di piattaforme e-commerce quali eBay o Paypal, così carpendo la buona fede delle persone e con essa le password di accesso a conti on line, le numerazioni relative a carte di credito o ancora le informazioni necessarie per disporre di altri mezzi di pagamento on line. I dati così ottenuti (con la nota tecnica del phishing, nome che evoca l’arte della pesca proprio per le modalità con cui le informazioni utili vengono acquisite) sono poi utilizzati dai phisher per trasferire denaro verso carte prepagate acquistate da persone reclutate sul territorio, che, quasi sempre, usano documenti falsi.

Of: Quale è il compito di questi signori?
CAJANI: Il denaro giunge sulle carte prepagate e questa “manovalanza su strada” ritira cash dagli sportelli automatici ATM. Tempo per questa complessiva operazione: un minuto o poco più. Le diverse modalità sono quelle illustrate nel nostro libro: dalle più semplici fino a quella più sofisticata di utilizzare gli sportelli ATM all’interno dei Casinò (dai quali è possibile prelevare fino a 3.000 euro per volta).

Of: Quanto denaro è stato rubato dai conti fino ad oggi?
CAJANI: In alcune indagini noi ne abbiamo accertato per oltre un milione di euro, attraverso cifre anche molto piccole come 50, 100 euro alla volta, in modo da non provocare la immediata reazione del truffato. Ovviamente a livello globale si tratta di cifre ingenti.

Of: E questo è il primo fenomeno. Cosa fanno di più?
CAJANI: C'è poi un sistema più subdolo e anche complesso da organizzare: società fittizie dai nomi stranieri altisonanti (leggi qui un elenco) inviano e-mail a persone al di sopra di ogni sospetto, proponendo false attività di lavoro. In genere si usa sempre la tecnica dello spam ma, di recente, i profili delle persone contattate sono collezionati attraverso ricerche mirate, anche avvalendosi di profili e/o informazioni lasciate in rete nelle varie community. Chi accetta la “proposta di lavoro” spesso si vede arrivare, sempre via e-mail, quello che a tutti gli effetti sembra un autentico e regolare contratto.

Of: E invece?
CAJANI: L'incarico può sembrare reale fino a quando, e questo diviene palese fin dalla successiva e-mail ricevuta, non si scopre che l'attività richiesta è solamente una: aprire un conto corrente oppure dare indicazioni del proprio conto corrente già esistente. Su questo verranno accreditate somme che dovranno essere immediatamente prelevate in contanti, e che vanno dai 5.000 ai 20.000 euro…

Of: …dipende…
CAJANI: … dalla persona che si presta a questo incarico e dalla disponibilità di conti on line pronti per essere “prosciugati”. Il "financial manager", così viene chiamato il soggetto reclutato, deve a sua volta immediatamente ritrasferire all’estero l’accredito ad una persona ad esso sconosciuta, che di solito viene a lui indicata come uno dei clienti della fantomatica società. E trattenersi una somma di "commissione" pari di solito al 10%, ma che in alcuni casi può arrivare anche fino al 20%.

---- Of: Ma chi sono questi financial manager?
CAJANI: Sono studenti, casalinghe, ex manager in difficoltà ma anche – come è capitato - avvocati e promotori finanziari che si lasciano coinvolgere … molto spesso attirati dai facili guadagni realizzabili con questa attività.

Of: Ma contro questi “signori” a che punto sono le indagini giudiziarie?
CAJANI: La Procura di Milano ha avviato due importanti indagini relative al phishing. Il filone originario, che aveva interessato - per la prima volta nel nostro Paese a partire dal 2005 – i correntisti di Banca Intesa, Poste Italiane, Banca Mediolanum e Fineco, si è in parte concluso nell'ottobre 2008 con la sentenza del Giudice per le indagini preliminari presso il Tribunale di Milano Simone Luerti. Per questa indagine ci sono ancora in sospeso, tra l'altro, alcune rogatorie in Russia che non hanno ancora ricevuto risposta. A questo proposito, stiamo richiedendo – tramite Eurojust – un supplemento di indagini perchè ci siamo resi conto che lo stesso fenomeno, nell’ultimo anno, è ripreso con le stesse identiche modalità e con i proventi del phishing sempre dirottati verso i paesi dell’ex Europa dell’Est, prevalentemente verso Russia e Ucraina.
Successivamente, a seguito del monitoraggio delle transazioni verso tali paesi, le modalità di azione sono cambiate. E da qui era poi partita la seconda indagine che abbiamo fatto nel 2007, di cui tratta – per le posizioni più importanti che hanno optato per il rito abbreviato (ovvero basandosi sui soli atti di indagine, con la possibilità di beneficiare – in caso di condanna – di uno sconto di pena) la sentenza del Giudice per le indagini preliminari presso il Tribunale di Milano Pietro Gamacchio, recentemente confermata in appello. In questo caso le rogatorie sono invece state molto veloci perché abbiamo ricevuto una valida collaborazione dall'Autorità giudiziaria della Romania e in meno di un anno – grazie anche allo sforzo profuso dalla Guardia di Finanza, Gruppo Pronto Impiego di Milano - abbiamo concluso l'indagine, con diversi arresti compiuti anche all’estero.
Per questo motivo il secondo filone è quello che, a livello processuale (anche se alcune posizioni marginali sono ancora di fronte al Tribunale di Milano), è stato definito per primo. La “sentenza Gamacchio”, quindi, è la prima in materia di phishing.

Of: I reati contestati nei due filoni d'indagine sono quindi gli stessi?
CAJANI: Non proprio. Ci sono i reati informatici tipici del phishing (che colpisce ignari correntisti i cui conti correnti on line, tramite accesso abusivo con le credenziali illecitamente carpite, vengono dirottati sui conti dei financial manager o su carte prepagate) e di questo tratta specificatamente la sentenza Gamacchio. C'è invece la “sentenza Luerti” che invece riguarda i diversi reati di ricettazione e/o riciclaggio contestati ai soli financial manager. In effetti anche nella prima indagine (condotta dal Gruppo Repressione Frodi della Guardia di Finanza di Milano) stavamo dando la caccia ai phisher, ma – come accennato - stiamo attendendo ancora le informazioni necessarie dalla Russia.

Of: Che differenza c'è nel nostro caso tra ricettazione e il riciclaggio?
CAJANI: Alcuni financial manager hanno concluso l'accordo con i malavitosi, ma non vi hanno dato seguito. In altre parole, avevano accettato l’accredito delle somme sul proprio conto, ma successivamente, contravvenendo ai patti originari, non le avevano trasferite all'estero.

Of: Se l'erano intascate?
CAJANI: Esatto. In questo caso l'accusa è di ricettazione (ovvero l’aver conseguito somme di denaro sapendo dell’illecita provenienza). Laddove invece le somme siano state ritrasferite all’estero – tramite i noti sistemi di money trasfert (Western Union o Money Gram) - si parla, più propriamente, di riciclaggio (in quanto condotta idonea ad ostacolarne l’identificazione della loro provenienza illecita).

Of: Le persone che si sono trattenute il denaro non rischiano? Derubare questi delinquenti internazionali non mi sembra una grande idea, o no?
CAJANI: Ci sono stati episodi di minacce via e-mail che questi criminali mandavano, dall’estero, ai financial manager “infedeli”. Ma a parte queste e-mail non è accaduto altro. Per ora.

Of: Quante persone sono state condannate?
CAJANI: La Procura di Milano aveva chiesto il rinvio a giudizio di 112 financial manager, in relazione ad un fenomeno che riteneva unitario. Il Giudice Luerti ha invece ritenuto che la competenza a decidere spettasse ai Tribunali dei luoghi nei quali erano avvenuti i singoli episodi di ricettazione/riciclaggio. A Milano quindi sono rimaste 20 posizioni, 9 delle quali decise con giudizio abbreviato (con sentenza di condanna per 7 imputati a pene che vanno da anni 1 mesi 4 ad anni 2 mesi 2 di reclusione).

Of: Processi molto complessi…
CAJANI: Direi di sì, non solo per il numero di persone coinvolte ma anche per la novità della materia. Sotto questo aspetto, una vicenda che credo possa interessare i suoi lettori riguarda la fase della costituzione delle parti civili.

Of: In che senso?
CAJANI: Fin dalla richiesta di rinvio a giudizio la Procura di Milano aveva identificato come persone offese dal reato (ricettazione e/o riciclaggio) solamente i correntisti, precisando altresì che alcuni istituti di credito avevano fatto denuncia in relazione ai fatti (ovvero l’invio delle e-mail di phishing che falsamente facevano ritenere come mittente tali istituti) che avevano dato origine alle indagini. All’inizio dell’udienza preliminare di fronte al Giudice Luerti si è molto dibattito, in fatto ed in diritto, se le banche a loro volta potessero o meno costituirsi parte civile accanto ai correntisti frodati.

Of: Stiamo parlando di Banca Intesa, Poste Italiane e Banca Mediolanum e Fineco?
CAJANI: Si, anche se Fineco non si è presentata all’udienza, cosa che invece hanno fatto le altre tre Banche chiedendo di costituirsi parte civile.

Of: Come è andata?
CAJANI: L'ufficio del Pubblico Ministero, in linea con i difensori degli imputati, si è opposto alla costituzione di parte civile laddove le Banche non avessero precedentemente risarcito i correntisti truffati. E qui c'è l’ordinanza del Giudice Luerti che ci dà ragione, dal momento che tale procedimento riguardava il solo fenomeno dello spossessamento delle somme a danno dei soli correntisti (e non anche il fenomeno del phishing, che in astratto potrebbe produrre danni per gli istituti di credito interessati). Peraltro devo dire che la stessa Procura aveva prestato consenso al patteggiamento nei soli casi in cui gli imputati avessero preventivamente risarcito i correntisti frodati.

Of: Ma le banche avevano risarcito i loro clienti?
CAJANI: Fineco aveva risarcito i pochi correntisti frodati di cui si era avuta notizia durante le nostre indagini. Poste Italiane, che invece ne aveva numerosi, no. Anche Banca Intesa ne aveva numerosissimi ma, tuttavia, lo aveva fatto solo in quattro casi per “ragioni esclusivamente commerciali", così come indicato nell’atto di costituzione di parte civile. Infine Banca Mediolanum, in questo primo filone di indagine, ne aveva cinque, tutti risarciti. E quindi alla fine come parte civile costituita è rimasta solo Banca Mediolanum per i suoi cinque e Banca Intesa solo per i quattro clienti risarciti. Questo, come detto, solo per quella parte del fenomeno che trattava di ricettazione/riciclaggio (perché invece, nel procedimento di fronte al Giudice Gamacchio, Poste Italiane ha chiesto ed ottenuto – senza problemi - la costituzione come parte civile).

Of: Di quanto denaro stiamo parlando?
CAJANI: La Guardia di Finanza ha sequestrato più di 250.000 mila euro, soldi tutti già usciti dalle banche in quanto già prelevati dai financial manager e già consegnati agli sportelli di Western Union per il ritrasferimento all’estero. I sequestri sono stati possibili grazie ad un accordo raggiunto con Western Union International, che ci ha consentito di verificare di volta in volta – in tempo reale – la provenienza delle operazioni di ritrasferimento. Ma quelle somme sequestrate erano solo una minima parte della montagna di denaro sottratto ai diversi correntisti. Si parla di oltre un milione di euro.

---- Of: Queste due sentenze che Lei ha citato hanno cambiato la giurisprudenza sul cybercrime?
CAJANI: Non hanno cambiato la giurisprudenza, perché prima non vi era alcuna giurisprudenza sul punto. Mi spiego meglio: queste sentenze hanno indicato piuttosto quali norme possono essere applicate a questo nuovo fenomeno. Perché in Italia il phishing non è ancora specificatamente regolamentato, a differenza di altre legislazioni - prima fra tutte quella americana - che possiedono norme incriminatrici ad hoc. Da noi invece si trattava di verificare se norme incriminatrici pensate per ipotesi di reato diverse potessero o meno essere applicate a questo nuovo fenomeno. Quindi in primis la sentenza Gamacchio è importantissima sotto questo profilo giuridico. E, in secondo luogo, perché per la prima volta sono contestate dal Pubblico Ministero e ritenute operative dal Giudice, per fenomeni attinenti il cybercrime ed in particolare per organizzazioni a delinquere dedite al phishing, le norme della l. 146/2006 che ha ratificato la Convenzione di Palermo per il contrasto alla criminalità organizzata trasnazionale.

Of: Cioè?
CAJANI: Oltre alle specifiche aggravanti con i relativi aumenti di pena, esse prevedono la possibilità di confiscare somme di denaro o beni per equivalenza (ovvero anche se non immediatamente interessati dalla condotta illecita, per un valore corrispondente all’accertato prodotto, il profitto o il prezzo del reato).

Of: C'è oggi, a distanza di alcuni anni dalle prime denunce, qualche novità nella tipologia dei reati?
CAJANI: No, direi che siamo fermi a questa duplice tipologia di fenomeni. Episodi di “pump and dump” (ovvero l’indebito utilizzo di credenziali di accesso a sistemi di home banking per porre in essere operazioni di trading on line a danno dei titolari del conto e con profitti illeciti dovuti ad una sofisticata operazione di alterazione del mercato azionario) che abbiamo anche segnalato all’ABI, non si sono ancora verificati in Italia.

Of: Mi riferisco soprattutto ai virus troiani che si possono contrarre anche se il computer è protetto da anti-virus.
CAJANI: Questo fenomeno difficilmente viene affrontato nelle indagini, perché le banche raramente ne hanno denunciato l'esistenza. Ed è anche un fenomeno che non è neppure percepito dal correntista.

Of: Lei però cosa ne pensa?
CAJANI: Credo che il fenomeno esista e debba essere preso seriamente in considerazione. Ho segnalato il problema anche al convegno ABI Banche del maggio 2008 e, all’ultimo Digital PhishNet, ci sono stati molti relatori che hanno puntato l’attenzione su tale profilo: in particolare il sistema dell’home banking tedesco continua ad essere messo duramente alla prova da tali virus, in grado di frapporsi – nella singola operazione dispositiva on line - tra l’utente e la banca e di bypassare anche l’operatività della OTP (One Time Password).

Of: Il correntista non può difendersi da queste infezioni di virus silenziosi, perchè si propagano anche attraverso siti al di sopra di ogni sospetto, come pagine di giornali online, anche molto noti, piuttosto che pagine di prenotazione di hotel e di viaggi. Non c'è una responsabilità penale della banche che non forniscono sistemi e tecnologie di protezione ai siti di home banking, come, ad esempio, il token come fanno già alcuni istituti?
CAJANI: Credo sia impossibile configurare ipotesi di responsabilità penale degli istituti di credito in questo contesto. Rilevo, piuttosto, un problema in punto di diritto civile.

Of: Mi spieghi meglio.
CAJANI: Tra correntista e banca è in vigore un contratto di conto corrente sulla base del quale, ove sia prevista anche l’opzione home banking, viene individuato un profilo di responsabilità in capo al correntista per la corretta gestione delle credenziali di accesso. E' chiaro che se, come chiedeva, la banca non ha attrezzature idonee ad elevare le misure di sicurezza contro il furto di identità nel settore dell’home banking, il correntista ha due possibilità: cambiare immediatamente banca, con la risoluzione del contratto e consequenziali spese di chiusura del conto. O, altrimenti, comunicare formalmente alla propria banca la mancata implementazione delle misure di sicurezza, segnalando l'esempio di altre banche che invece sono più rigorose sul punto. In caso di mancata risposta da parte della banca, credo si possa legittimamente pretendere una chiusura a costo zero del conto corrente on line.

Of: Ricapitolando. O sono soddisfatto dei sistemi di sicurezza della banca, il che significa che se a causa di un virus troiano o quant'altro perdo denaro è colpa mia e la banca è manlevata da qualsiasi responsabilità, oppure non lo sono e cambio banca, con la possibilità di farlo a costo zero segnalando con raccomandata alla banca che i suoi sistemi di sicurezza non sono adeguati agli standard più elevati, leggi token eccetera. Ovviamente solo nel caso che la banca non risponda alla mia lettera.
CAJANI: Non vedo altra strada e sto ragionando ad alta voce perché non sono un civilista. Inoltre anche una responsabilità amministrativa per le persone giuridiche (così come prevista dalla legge 231/2001 che, con la legge 48/2008, è stata estesa anche ai reati informatici) non è praticabile in queste ipotesi, considerato peraltro che qui non si verifica un reato commesso nell'interesse dell'istituto di credito o a suo vantaggio.

Of: Vuol dire che la banca non ha alcun interesse ad essere sicura...
CAJANI: Ovviamente no. Ritengo solo che raccogliere materiale probatorio per sostenere il contrario (ovvero che una determinata banca non abbia alcun interesse ad essere “informaticamente sicura”, scaricando così il correlativo rischio sui correntisti home banking) sia impresa molto difficile.

Of: Il problema, secondo noi di Of, è che la gente non conosce i problemi della sicurezza online o non li capisce. Il tema è difficile.
CAJANI: Sono assolutamente d’accordo con Lei. Eppure proprio questo è il terreno in cui si potrebbe verificare una sana concorrenza tra gli istituti di credito, ovvero… scelgo la banca che mi offre maggior sicurezza proprio relativamente all’home banking. E che più e meglio di altre mi fornisce una adeguata informazione sui pericoli esistenti in Internet.

---- Of: Passiamo ad un altro fenomeno in rapidissima crescita: le carte di credito clonate. Ci sono novità?
CAJANI: Anche qui occorre prestare attenzione a quale fenomeno criminale vogliamo fare riferimento. Infatti, da un lato, la clonazione di carte di credito è sempre stata molto diffusa, in Italia come all’estero. Tuttavia oggi il fenomeno illecito relativo alle carte di credito interessa soprattutto le carte prepagate, aperte con documenti falsi oppure servendosi di persone che si rendono a tal fine disponibili previo ricevimento di una somma di denaro. Perché sa qual è la vera difficoltà per un phisher oggi?

Of: No, qual è?
Cajani: Ce l'ha spiegato in un lungo interrogatorio un giovane rumeno che è abbiamo arrestato a Craiova: la vera difficoltà non è la disponibilità delle credenziali di accesso…. Il phisher ci ha detto: "di quelle noi ne abbiamo un sacco...e non sappiamo più cosa farcene!!". La vera difficoltà è trovare il modo di far fruttare quelle credenziali di accesso, ovvero avere a disposizione canali che consentano in tempi rapidissimi al phisher di accedere alle somme di denaro presenti sui conti correnti on line. Il fenomeno nuovo quindi è quello della carte prepagate utilizzate per far immediatamente confluire i proventi del phishing.

Of: Come mai? Dovrebbero essere le carte più sicure e fatte apposta per l'online...
CAJANI: Infatti. Ma tali carte nascono proprio per essere ricaricate anche tramite Internet e, quindi, anche utilizzando la disponibilità (di regola lecita) di un conto corrente on line per effettuare tali operazioni di ricarica. Ecco quindi che il problema, per il criminale, è fare in modo che l'autorità giudiziaria non arrivi all'identificazione del possessore della prepagata utilizzata per la frode: per tale motivo la carta viene accesa o con documenti falsi o da persone che si prestano ad aprirle con documenti propri ma per un proprio tornaconto economico, diventando complici dei cybercriminali. La sentenza Gamacchio era relativa proprio a questo nuovo fenomeno: persone che erano disposte, per 50/100 euro ad operazione, ad aprire moltissime carte ricaricabili di Poste Italiane o di Banca Intesa. Ma oggi il fenomeno riguarda le carte ricaricabili di tutti gli Istituti di credito italiani…

OF: Oggi poi c’è la questione della sicurezza per il m-banking, la banca sul cellulare…
CAJANI: A Milano non abbiamo ancora specifiche denunce delle Banche su tale fenomeno. Mentre sono in crescita le truffe legate al mondo della telefonia. Si utilizzano i conti correnti on line (dei quali si ha la disponibilità delle relative credenziali di accesso) per ricaricare, sempre on line, schede SIM (poi vendute a soggetti terzi a prezzi nettamente inferiori del credito esistente sulla scheda). Oppure truffe utilizzando gli SMS …. un po' come in una mia primissima indagine, fatta con la Polizia Postale di Milano: un giovane italiano che aveva simulato, inviando migliaia di SMS, il sistema di alert di Cartasì per richiedere i numeri e i PIN della carte di credito dei destinatari degli SMS. Per fortuna è stato fermato in tempo. E comunque mi aspetto che prossimamente le frodi con telefonino saranno in crescita vertiginosa. Ricordiamoci sempre che anche il telefono cellulare (oltre a possedere, al suo interno, un sistema operativo) è, allo stesso modo di un computer, strumento informatico potenzialmente esposto all’azione di virus….

Of: Oggi, in effetti il problema della sicurezza riguarda tutti, non solo le banche, ma anche, ad esempio, iper e supermercati, portali di shopping online, ospedali, università...
CAJANI: Mi ricordo che per le carte di credito clonate un’altra indagine della Polizia Postale si occupò proprio della messa in sicurezza di POS presenti nei supermercati di Milano. Dove però c'è sempre un fattore umano… cioè il cassiere che sostituisce il POS con uno skimmer, un po' come il cameriere che lo fa nei ristoranti. Perché il pericolo viene spesso dall’uomo e non dalla macchina.

Of: Tre filoni di indagine, quindi: phishing con carte prepagate, con financial manager e SMSishing. Grazie anche a tutte queste esperienze, si sta creando in Italia una nuova cultura giuridica con figure professionali preparate? Ad Of giungono numerose lamentele di persone che si trovano a fare denuncia alle Forze dell’Ordine trovando una difficoltà enorme anche solo a spiegare di cosa si tratta. Cosa si sta facendo sul fronte della formazione?
CAJANI: Come Ufficio per l'Informatica del Distretto di Milano abbiamo di recente organizzato, su sollecitazione del Procuratore di Milano Manlio Minale e in collaborazione con IISFA (International Information Systens Forensics Association, Italian Chapter), un corso base per gli accertamenti informatici nelle investigazioni penali, che si è tenuto presso l’Aula Magna del Tribunale di Milano per complessive 14 ore di formazione. Si badi bene: non un corso sui reati informatici, ma sugli accertamenti informatici nella investigazioni (anche quelle “tradizionali”) e quindi qualcosa di più ampio ma anche, nello stesso tempo, di più specifico.

Of: Un successo?
CAJANI: Direi di sì, un successo davvero inaspettato. Vi hanno preso parte oltre 350 persone, tutte attentissime e con molta voglia di confrontarsi con la materia. Era un corso appositamente pensato per il personale della Polizia Giudiziaria di supporto ai magistrati della Procura di Milano nonché per tutte le Forze dell'Ordine che collaborano con le Autorità Giudiziarie del Distretto di Milano, e che ha visto anche la partecipazione di numerosi magistrati del Pubblico Ministero. Un corso, peraltro, realizzato a costo zero grazie alla disponibilità di tutti i relatori ed esperti ad intervenire a titolo gratuito (alcuni accollandosi addirittura le spese per la trasferta).

Of: Ci sono altre attività in corso?
CAJANI: Il Consiglio Superiore della Magistratura sempre più frequentemente organizza, nell’ambito dei tradizionali momenti di formazione per i magistrati, specifici corsi sui temi delle tecnologie applicate alle investigazioni. Il vero problema tuttavia non sono i corsi di formazione, ma il fatto che la Polizia Giudiziaria ha problemi finanziari ed economici…

Of: Cioè?
CAJANI: Sì, ha capito bene: difficoltà a reperire computer adatti al proprio lavoro.

Of: Ancora oggi?
CAJANI: Era il 2007 quando dal Viminale ci fecero sapere che gli ultimi computer per la Polizia Giudiziaria erano stati acquistati «una tantum nel 1992» e che di soldi per comprarne dei nuovi, al momento, non ve ne erano. La sconcertante notizia fu ripresa dai mass media (leggi qui) ma la situazione, ad oggi, di fatto è rimasta invariata. Ecco perchè saremmo molto contenti di poter destinare alla Polizia Giudiziaria i “computer-gioiellini” dei phisher arrestati in Romania o dei cybercriminali che abbiamo fatto condannare, che invece rimangano per anni presso l’Ufficio corpi di reato anche dopo la loro confisca. E tuttavia ancora manca una norma di legge che preveda per le Forze dell’Ordine la possibilità dell’ utilizzo dei beni confiscati anche in relazione ai reati informatici, come oggi già previsto – per esempio - per le autovetture confiscate in operazioni antidroga.

Of: E aggravamento delle pene…
CAJANI: ... e, ovviamente, sanzioni adeguate alla gravità dei fatti commessi. Perché anche il crimine informatico paga.

Of: C'è qualche gruppo di lavoro per studiare nuove leggi ad hoc sul cybercrime?
CAJANI: Il panorama normativo è fermo. La recente legge 48/2008 si è limitata a recepire le indicazioni previste dalla Convenzione di Budapest sul cybercrime. Tale Convenzione, tuttavia, era stata firmata nel 2001: capirà bene come, nella nostra materia e con l’evoluzione delle tecnologie, in 7 anni di cose ne siano cambiate...

Of: E nel frattempo?
CAJANI: Nel frattempo vuole un lampante esempio di cosa invece accade oggi? Il phisher rumeno che abbiamo arrestato e fatto condannare in Italia, definito un "genio informatico", si è meritato la prima pagina del Corriere della Sera alla notizia che – a detta del suo difensore – a breve otterrà un lavoro ben pagato presso una società di informatica che, peraltro, collabora con la Procura di Como. E adesso chi glielo dice alla Polizia Giudiziaria di continuare a fare le indagini utilizzando ancora quei vecchi computer? E’ proprio vero: il crimine paga.

©Of-Osservatorio finanziario - Riproduzione riservata.