Frode informatica: querela o denuncia, termini e che cosa serve

In sintesi. La frode informatica è il reato previsto dall’art. 640-ter del codice penale e punisce chi, alterando il funzionamento di un sistema informatico o telematico, oppure intervenendo senza diritto su dati, informazioni o programmi, ottiene un ingiusto profitto con altrui danno. Somiglia alla truffa ma ne è distinta, perché l’inganno non è rivolto a una persona, ma al sistema. Nell’ipotesi base il reato è punibile a querela della persona offesa, e la querela va proposta entro tre mesi dal giorno in cui si ha notizia del fatto (art. 124 c.p.). Quando ricorrono le circostanze del secondo e del terzo comma, fra cui il trasferimento di denaro, di valore monetario o di valuta virtuale e il furto o indebito utilizzo dell’identità digitale, il reato è invece perseguibile d’ufficio. La pratica prudente, in ogni caso, è presentare una denuncia-querela completa e documentata. È un percorso diverso dalla richiesta di rimborso alla banca: i due piani si affiancano, ma non si sostituiscono.

Che cos’è la frode informatica?

Risposta diretta. È il delitto previsto dall’art. 640-ter c.p.: chi, alterando un sistema informatico o telematico o intervenendo senza diritto sui dati, procura a sé o ad altri un ingiusto profitto con altrui danno. È punito con la reclusione da sei mesi a tre anni e con la multa, nelle ipotesi aggravate con pene più severe.

La norma è stata inserita nel codice penale per colmare un vuoto: la truffa classica, disciplinata dall’art. 640, presuppone che qualcuno venga indotto in errore con artifizi o raggiri. Se a ingannare è un programma, una procedura automatica o una manipolazione dei dati, non c’è una persona che cade in errore, e la fattispecie della truffa fatica a calzare. L’art. 640-ter descrive allora due condotte alternative. La prima è l’alterazione, «in qualsiasi modo», del funzionamento di un sistema informatico o telematico. La seconda è l’intervento «senza diritto», con qualsiasi modalità, su dati, informazioni o programmi contenuti in un sistema o ad esso pertinenti. In entrambi i casi l’agente procura a sé o ad altri un ingiusto profitto, e la vittima subisce un danno.

Il testo vigente letto sul sito Normattiva, nella versione in vigore dal 30 dicembre 2022, prevede la reclusione da sei mesi a tre anni e la multa nel primo comma; la reclusione da uno a cinque anni nelle ipotesi del secondo comma; la reclusione da due a sei anni nel terzo comma, quando il fatto è commesso con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti.

Che cosa significa «alterare» un sistema informatico

Alterare il funzionamento di un sistema significa farlo operare in modo diverso da quello programmato e previsto, per esempio introducendo un programma che modifica una procedura, oppure sfruttando una vulnerabilità per far eseguire al sistema operazioni che non avrebbe dovuto compiere. Non è necessario che il sistema si blocchi: è sufficiente che l’esecuzione dei suoi compiti sia deviata verso un risultato che il titolare non ha voluto.

Che cosa significa intervenire «senza diritto»

Intervenire senza diritto su dati, informazioni o programmi vuol dire agire senza essere autorizzati a farlo, modificando, cancellando, inserendo o sfruttando informazioni contenute nel sistema. La formula è molto ampia, e rientrano nella pratica casi diversi: l’uso di credenziali ottenute con inganno per disporre un bonifico dal conto di un’altra persona, la manipolazione di dati di pagamento, l’installazione di programmi che reindirizzano le somme verso un altro conto. Il punto decisivo non è tanto la tecnica quanto il risultato: un profitto ingiusto per chi agisce e un danno per chi lo subisce.

In che cosa la frode informatica differisce dalla truffa?

Risposta diretta. Nella truffa (art. 640 c.p.) qualcuno è indotto in errore con artifizi o raggiri e dispone di un bene; nella frode informatica l’inganno è rivolto a un sistema e manca l’errore di una persona. Le due figure sono vicine, e nella cronaca delle truffe online capita che il fatto rientri nell’una o nell’altra a seconda di come si è svolto.

La distinzione ha conseguenze pratiche. Se un truffatore telefona fingendosi operatore della banca e convince la vittima a eseguire personalmente un bonifico, c’è una persona indotta in errore e la qualificazione si sposta verso la truffa, tanto più che dal 2025 il codice penale prevede una circostanza specifica per il fatto commesso a distanza con strumenti informatici o telematici idonei a ostacolare l’identificazione dell’autore (art. 640, secondo comma, n. 2-ter, nel testo in vigore dal 12 aprile 2025). Se invece qualcuno si impossessa delle credenziali, accede al conto e dispone da solo l’operazione, l’intervento senza diritto sul sistema porta alla frode informatica.

Tra le due ipotesi ci sono zone grigie, e la qualificazione spetta all’autorità giudiziaria. Per chi ha subito il fatto la conseguenza concreta è che conviene descrivere con precisione come sono andate le cose, senza adottare in partenza una sola etichetta giuridica: sono la pubblica accusa e il giudice a stabilire quale norma si applica, sulla base dei fatti descritti.

E l’accesso abusivo a un sistema informatico?

L’art. 615-ter c.p. punisce l’accesso abusivo a un sistema informatico o telematico protetto da misure di sicurezza, e chi vi si mantiene contro la volontà del titolare. È un reato autonomo, che spesso accompagna la frode informatica: chi entra nell’area riservata di un conto con credenziali altrui commette l’accesso abusivo, e se poi dispone un’operazione per trarne profitto risponde anche della frode. Dal 17 luglio 2024 le pene dell’art. 615-ter sono state inasprite, con la reclusione da due a dieci anni nelle ipotesi aggravate del secondo comma.

E la sostituzione di persona?

L’art. 494 c.p. punisce chi, per procurare a sé o ad altri un vantaggio o per recare ad altri un danno, induce taluno in errore sostituendo illegittimamente la propria all’altrui persona, o attribuendo a sé o ad altri un falso nome, un falso stato o una qualità cui la legge attribuisce effetti giuridici. Quando una frode informatica passa per il furto dell’identità digitale, accanto al terzo comma dell’art. 640-ter possono venire in rilievo queste ipotesi, e la denuncia le descrive tutte.

La frode informatica si persegue a querela o d’ufficio?

Risposta diretta. Nell’ipotesi base è punibile a querela della persona offesa. Si procede invece d’ufficio quando ricorrono le circostanze del secondo o del terzo comma, fra cui il trasferimento di denaro, di valore monetario o di valuta virtuale, l’abuso della qualità di operatore del sistema, il furto o l’indebito utilizzo dell’identità digitale.

L’ultimo comma dell’art. 640-ter stabilisce che il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma oppure la circostanza prevista dall’art. 61, primo comma, n. 5, c.p., limitatamente all’aver approfittato di circostanze di persona, anche in riferimento all’età. Le circostanze del secondo comma sono quelle del n. 1 del secondo comma dell’art. 640 (fra le quali il fatto commesso a danno dello Stato o di un altro ente pubblico o dell’Unione europea), il fatto che produce un trasferimento di denaro, di valore monetario o di valuta virtuale, e il fatto commesso con abuso della qualità di operatore del sistema.

Perché il trasferimento di denaro conta così tanto

Il «trasferimento di denaro, di valore monetario o di valuta virtuale» è proprio il caso tipico che interessa chi subisce una frode online: il bonifico disposto a sua insaputa, l’addebito sulla carta, il passaggio di criptovalute verso un portafoglio sconosciuto. Se il fatto produce un trasferimento di questo tipo, ricorre la circostanza del secondo comma e il reato non dipende più dalla querela. Ciò non significa che la querela sia inutile: significa che l’azione penale può partire anche senza di essa, quando l’autorità ha notizia del reato.

Perché conviene comunque presentare una denuncia-querela

Anche quando il reato è perseguibile d’ufficio, presentare una denuncia-querela completa è la scelta prudente per tre ragioni. La prima è che segnala all’autorità i fatti, i documenti e il nome della persona offesa, e di norma è proprio la segnalazione a mettere in moto l’indagine. La seconda è che, se l’inquadramento giuridico definitivo fosse quello dell’ipotesi base, la querela eviterebbe che il diritto si perda per decorso del termine. La terza è che la denuncia fissa una data e una descrizione dei fatti, utili anche nei rapporti con la banca.

Entro quanto tempo si presenta la querela?

Risposta diretta. Salvo che la legge disponga altrimenti, il diritto di querela non può essere esercitato decorsi tre mesi dal giorno della notizia del fatto che costituisce il reato (art. 124 c.p.). Il termine non decorre dall’operazione, ma da quando la persona offesa ne ha avuto notizia.

L’art. 124 c.p., nella versione letta su Normattiva, aggiunge che il diritto di querela non può essere esercitato se vi è stata rinuncia espressa o tacita da parte di chi ne ha la facoltà, e che la rinuncia tacita deriva da fatti incompatibili con la volontà di querelarsi. L’art. 120 c.p. riconosce il diritto di querela a ogni persona offesa dal reato per cui non debba procedersi d’ufficio.

Quando comincia davvero il termine

Il punto delicato è il momento in cui la persona offesa ha «notizia del fatto». In una frode informatica il momento della scoperta può essere diverso da quello dell’operazione: il conto viene svuotato di notte e la vittima se ne accorge al mattino, oppure l’addebito compare sull’estratto conto settimane dopo. Il termine di tre mesi non si conta quindi dal giorno dell’addebito in sé, ma dal giorno in cui la persona ha avuto notizia del fatto costituente reato. Si tratta di una questione di fatto, che può diventare oggetto di discussione quando la querela arriva tardi, ed è un motivo ulteriore per non attendere: chi aspetta mesi rischia di dover dimostrare a posteriori quando ha saputo.

Come si propone la querela

L’art. 336 del codice di procedura penale stabilisce che la querela si propone con una dichiarazione nella quale, personalmente o a mezzo di procuratore speciale, si manifesta la volontà che si proceda in ordine a un fatto previsto dalla legge come reato. L’art. 337 aggiunge che la dichiarazione si presenta alle autorità alle quali può essere presentata una denuncia, oppure a un agente consolare all’estero; se proposta oralmente, il verbale è sottoscritto dal querelante; con sottoscrizione autenticata può essere recapitata da un incaricato o spedita per posta in piego raccomandato. Nella prassi la denuncia-querela si deposita presso un comando di polizia o dei carabinieri, presso la polizia postale o direttamente alla procura, e l’autorità che la riceve attesta data e luogo di presentazione.

Che cosa serve per presentare la denuncia-querela?

Risposta diretta. Una ricostruzione ordinata, in ordine di tempo, e le prove disponibili in forma originale: messaggi, e-mail, schermate, estratti conto con le operazioni contestate, la comunicazione fatta alla banca, i dati del conto di destinazione. Più il materiale è completo, più l’indagine ha un punto di partenza.

La denuncia-querela è un atto descrittivo: racconta i fatti e indica gli elementi di prova. Non richiede di aver già individuato il responsabile, e non richiede la qualificazione giuridica perfetta. Richiede invece precisione sul racconto: che cosa è successo, quando, attraverso quale canale, che cosa ha fatto la persona offesa e che cosa ha scoperto dopo.

I documenti da raccogliere

Il materiale utile si raccoglie con ordine. Servono gli estratti conto o le contabili delle operazioni contestate, con importo, data, ora e beneficiario; gli SMS, le e-mail, le chat o i messaggi vocali che hanno preceduto il fatto; le schermate delle pagine web o dell’app, con data e indirizzo del sito; il numero di telefono, l’indirizzo e-mail o il profilo da cui è partito il contatto; la comunicazione di blocco o di disconoscimento inviata alla banca, con la ricevuta. Conviene non cancellare nulla dal telefono e dalla posta elettronica, nemmeno i messaggi che sembrano inutili, e conservare gli originali, non soltanto le fotografie.

Una cronologia scritta

Prima di recarsi a presentare l’atto è utile scrivere una cronologia di una o due pagine: la prima comunicazione sospetta, le azioni compiute, il momento in cui ci si è accorti di quanto accaduto, il blocco di carte e accessi, i contatti con la banca. Sulla memoria dei dettagli pesa il tempo, e una traccia scritta redatta subito protegge la precisione del racconto.

I dati del conto di destinazione

Quando c’è stato un bonifico, l’IBAN del beneficiario è uno dei dati più importanti: permette all’autorità di risalire all’intestatario del conto e di valutare eventuali provvedimenti sulle somme. Anche il nome indicato come beneficiario, l’importo e la causale vanno riportati esattamente come risultano dalla contabile.

Come si lega la denuncia alla richiesta di rimborso alla banca?

Risposta diretta. Sono due percorsi distinti. Il procedimento penale riguarda l’autore del fatto; il rimborso delle operazioni non autorizzate è regolato dal D.Lgs. 11/2010 e riguarda il rapporto fra cliente e banca. Procedono in parallelo, e i documenti raccolti servono a entrambi.

Il D.Lgs. 11/2010, nel testo letto su Normattiva, pone all’art. 10 l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata a carico del prestatore del servizio di pagamento, e precisa che l’uso di uno strumento di pagamento registrato non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente, né che questi abbia agito in modo fraudolento o con dolo o colpa grave. L’art. 12 disciplina la responsabilità del pagatore per l’utilizzo non autorizzato, e prevede fra l’altro che, salvo il caso di condotta fraudolenta, il pagatore non sopporti alcuna perdita se la banca non esige l’autenticazione forte del cliente.

La guida dedicata alle truffe bancarie e ai pagamenti non autorizzati spiega i termini della comunicazione alla banca e il percorso del reclamo e dell’Arbitro Bancario Finanziario. Qui interessa il punto di contatto: l’esito di un procedimento penale non coincide con quello della richiesta di rimborso, e può arrivare molto più tardi. Chi ha subito una frode non è quindi tenuto ad attendere la conclusione dell’indagine per rivolgersi alla banca, e non deve rimandare la comunicazione all’istituto in attesa di sapere chi ha agito.

Perché la banca chiede la denuncia

Nella prassi gli istituti chiedono copia della denuncia presentata. Il motivo è pratico: documenta che il cliente ha disconosciuto l’operazione, fissa una data e una descrizione e, in una eventuale verifica successiva, mostra che il racconto è stato reso all’autorità in tempi vicini ai fatti. Non è una condizione che la legge sul rimborso ponga in questi termini, ma è un documento che conviene avere.

Se il rimborso è negato

Se la banca nega il rimborso, la denuncia presentata resta agli atti e può essere allegata al reclamo, al ricorso all’ABF o all’eventuale giudizio civile. La guida su come si legge il rifiuto della banca dopo un phishing illustra i passaggi dell’impugnazione del diniego.

Quali sono le pene e le aggravanti?

Risposta diretta. L’ipotesi base è punita con la reclusione da sei mesi a tre anni e con la multa. Le pene salgono da uno a cinque anni quando ricorrono le circostanze del secondo comma, e da due a sei anni quando il fatto è commesso con furto o indebito utilizzo dell’identità digitale.

Il secondo comma dell’art. 640-ter, nel testo vigente, prevede la reclusione da uno a cinque anni e la multa, che il testo indica ancora in lire (da seicentomila a tre milioni). Il terzo comma, dedicato al furto d’identità digitale, porta la pena da due a sei anni e la multa da euro 600 a euro 3.000. Le fasce di pena hanno effetti sui tempi della prescrizione, sulla possibilità di misure cautelari e sulle modalità di definizione del procedimento: questioni che dipendono dal caso concreto e che spettano all’autorità giudiziaria.

L’identità digitale

Il terzo comma richiama il fatto commesso «con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti». Rientrano nello scenario le credenziali di accesso al conto o all’app, lo SPID, gli account personali e ogni strumento che identifichi una persona in rete e permetta di compiere operazioni in suo nome. Per chi riceve la notizia di un’operazione che non riconosce, la conseguenza concreta è che il furto dell’identità digitale è una circostanza che la denuncia deve far emergere, descrivendo come le credenziali siano state sottratte o utilizzate.

Che cosa succede dopo la denuncia?

Risposta diretta. L’autorità che riceve l’atto lo trasmette alla procura, che apre un procedimento, svolge le indagini e decide se esercitare l’azione penale o chiedere l’archiviazione. I tempi sono spesso lunghi e dipendono dalla possibilità di identificare gli autori.

Le indagini sulle frodi informatiche si fondano su tracciamenti, richieste di dati agli operatori e agli istituti, accertamenti sui conti di destinazione. Spesso gli autori operano dall’estero o attraverso intestatari fittizi, e l’identificazione richiede tempo. La persona offesa che ne ha fatto richiesta può essere informata dell’eventuale richiesta di archiviazione e, nei casi previsti, opporsi: una fase in cui l’assistenza di un difensore è consigliabile, perché l’opposizione ha requisiti precisi.

La costituzione di parte civile

La persona offesa che ha subito un danno può chiedere il risarcimento nel processo penale costituendosi parte civile. È una scelta che si valuta insieme al difensore, tenendo conto dei tempi del processo, dell’identificabilità dell’imputato e della possibilità di agire in sede civile contro la banca quando ne ricorrano i presupposti.

Il sequestro delle somme

Quando il conto di destinazione è individuato in tempi rapidi, l’autorità giudiziaria può valutare provvedimenti sulle somme. Per questo la rapidità della segnalazione e la completezza dei dati del beneficiario hanno un peso pratico: sono le informazioni su cui si fonda ogni intervento sulle somme transitate.

Errori frequenti da evitare

Risposta diretta. Gli errori più comuni sono aspettare, cancellare i messaggi, presentare un racconto impreciso e non conservare gli originali dei documenti.

Il primo errore è lasciar trascorrere il tempo, convinti che sia sufficiente la comunicazione alla banca: la banca non è l’autorità giudiziaria, e il termine di tre mesi per la querela corre comunque. Il secondo è cancellare conversazioni, e-mail o SMS per liberare memoria o per «farla finita» con la vicenda: sono le prove più preziose. Il terzo è ricostruire i fatti a memoria, in modo approssimativo, aggiungendo dettagli incerti che poi potrebbero non reggere al confronto con la documentazione. Il quarto è accettare un compromesso con chi si presenta come mediatore o recuperatore di somme: si tratta di uno schema noto, che aggiunge un secondo danno al primo.

Domande frequenti

Letture consigliate

• Truffe bancarie e pagamenti non autorizzati: la guida
• Phishing e frodi bancarie: quando la banca rimborsa
• Banca che rifiuta il rimborso dopo il phishing: che cosa fare
• SIM swap: truffa, rimborso e responsabilità della banca
• Carta clonata e pagamenti non autorizzati: il rimborso

Guida aggiornata a novembre 2026. Ultimo aggiornamento: novembre 2026.

Avvertenza: il presente contributo ha finalità esclusivamente informative e non costituisce parere legale né consulenza professionale. Ogni caso va valutato nel concreto, sulla base dei documenti e delle circostanze specifiche.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it