In sintesi. Le truffe online sono condotte fraudolente realizzate attraverso strumenti telematici — marketplace, social network, e-mail, app di messaggistica, piattaforme di trading, siti di e-commerce — che integrano la fattispecie di truffa prevista dall’art. 640 del codice penale, spesso accompagnata o sostituita dalla frode informatica (art. 640-ter c.p.) e dall’accesso abusivo a sistema informatico (art. 615-ter c.p.). Lo studio ILA assiste vittime di truffe online — anche di importo elevato e con profili transfrontalieri — e persone indagate o imputate per condotte qualificate come truffa, frode informatica o sostituzione di persona.

In breve

  • La truffa online integra l’art. 640 c.p. quando un artificio o raggiro induce in errore la vittima e procura un ingiusto profitto con altrui danno.
  • Quando la condotta agisce direttamente sul sistema informatico, e non sulla persona, rileva l’art. 640-ter c.p. (frode informatica).
  • Frequenti anche art. 615-ter c.p. (accesso abusivo), art. 494 c.p. (sostituzione di persona) e art. 615-quater c.p. (detenzione e diffusione abusiva di codici).
  • La denuncia va presentata alla Polizia Postale o ai Carabinieri, anche tramite il portale online dedicato.
  • Il recupero del denaro dipende dalla rapidità: chargeback, richiamo di bonifico SEPA, sequestro penale di wallet e conti.
  • Le truffe online tipiche includono phishing, romance scam, investment scam in criptovaluta, falsi e-commerce, false offerte di lavoro.

Definizione: cosa si intende per truffa online

La truffa online è la realizzazione, mediante strumenti telematici, della condotta tipica della truffa: con artifici o raggiri taluno induce un altro in errore e procura a sé o ad altri un ingiusto profitto con altrui danno (art. 640 c.p.). La specificità del contesto online sta nel mezzo — sito web, marketplace, e-mail, app — e nella tipica distanza geografica fra autore e vittima, non nella struttura della fattispecie.

Sul piano giuridico la truffa “online” non è un autonomo titolo di reato, ma una modalità di estrinsecazione del paradigma dell’art. 640 c.p. La distinzione concettuale rispetto alla frode informatica (art. 640-ter c.p.) è centrale: nella truffa l’inganno opera sulla persona; nella frode informatica l’azione opera direttamente sul sistema informatico, alterandone il funzionamento o intervenendo sui dati. Questa differenza si traduce in regimi diversi di procedibilità, pena e prescrizione.

Le tipologie più frequenti di truffa online

La casistica che lo studio segue si raggruppa in poche famiglie ricorrenti, con tecniche in continua evoluzione.

Truffe nel commercio elettronico. Vendite di prodotti inesistenti su marketplace e social, falsi siti di e-commerce con grafica clonata da brand reali, finte offerte lampo, pagamenti dirottati su IBAN esteri.

Phishing, smishing, vishing. Comunicazioni che imitano banche, pubbliche amministrazioni, corrieri, gestori di servizi essenziali per indurre la vittima a comunicare credenziali, codici OTP o dati di carta. Il phishing può integrare una pluralità di reati: art. 640 c.p. (induzione in errore), art. 640-ter c.p. (operazioni non autorizzate sui sistemi di home banking), art. 615-ter c.p. (accesso abusivo), art. 615-quater c.p. (detenzione di codici di accesso).

Romance scam. Instaurazione di un rapporto sentimentale fittizio — spesso su app di dating o social — per ottenere denaro nel tempo, con storie ricorrenti (emergenze sanitarie, sblocco di eredità, missioni militari). Le vittime sono frequentemente soggetti vulnerabili e gli importi possono diventare molto rilevanti.

Investment scam in criptovaluta. Falsi consulenti, piattaforme di trading non autorizzate, finti gruppi VIP su messaggistica che attirano la vittima su dashboard manipolate. La conversione in criptoasset rende difficile il recupero ma non impossibile, soprattutto se i wallet sono custoditi presso exchange centralizzati. La Consob pubblica periodicamente l’elenco delle piattaforme oscurate e dei soggetti privi di autorizzazione.

False offerte di lavoro, affitti, prestiti. Annunci che richiedono un anticipo per “spese amministrative”, “deposito cauzionale”, “verifica del profilo”, spesso pubblicati su portali generalisti.

Furto d’identità e SIM swap. Sottrazione di credenziali e numeri telefonici per prendere il controllo dei sistemi di home banking, con compromissione delle credenziali di autenticazione forte.

Riferimenti normativi

  • Art. 640 c.p. — truffa: reclusione da sei mesi a tre anni e multa.
  • Art. 640 comma 2 c.p. — aggravanti, fra cui il fatto commesso “ingenerando nella persona offesa il timore di un pericolo immaginario” e quelle relative a circostanze di tempo, luogo o persona, anche in riferimento all’età.
  • Art. 640-ter c.p. — frode informatica: alterazione del funzionamento di un sistema informatico o intervento senza diritto su dati. Aggravata se commessa con sostituzione di identità digitale o con abuso della qualità di operatore.
  • Art. 615-ter c.p. — accesso abusivo a sistema informatico o telematico.
  • Art. 615-quater c.p. — detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi.
  • Art. 494 c.p. — sostituzione di persona.
  • Art. 617-quater c.p. — intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche.
  • L. 547/1993 — disciplina organica dei reati informatici.
  • L. 48/2008 — ratifica della Convenzione di Budapest sul cybercrime del 2001.
  • L. 90/2024 — riforma dei reati informatici.
  • Direttiva (UE) 2013/40 sugli attacchi ai sistemi di informazione.
  • PSD2 e D.Lgs 11/2010 — servizi di pagamento, autenticazione forte, regime di responsabilità della banca per operazioni non autorizzate.

La denuncia e la procedibilità

La truffa semplice è procedibile a querela di parte, da presentare entro tre mesi dalla conoscenza del fatto. Le ipotesi aggravate ai sensi dell’art. 640 comma 2 c.p. sono procedibili d’ufficio. La frode informatica (art. 640-ter c.p.) ha regime di procedibilità modulato in funzione delle aggravanti.

La denuncia o la querela possono essere presentate alla Polizia Postale e delle Comunicazioni, ai Carabinieri o direttamente al Pubblico Ministero. Per le condotte realizzate online è disponibile il portale di denuncia online della Polizia Postale, che consente la formalizzazione iniziale a distanza e l’allegazione di documentazione probatoria.

Lo studio suggerisce un percorso operativo in quattro tempi alle vittime: (i) immediata segnalazione alla banca per blocco del bonifico, richiamo SEPA e procedura di chargeback; (ii) raccolta della prova digitale (screenshot con metadati, copia integrale delle comunicazioni, log di accesso, hash dei file, dati WHOIS dei domini); (iii) denuncia formale con elenco analitico delle evidenze; (iv) costituzione di parte civile quando il procedimento prende corpo, per perseguire il risarcimento.

Recupero del denaro: cosa è possibile

La rapidità è decisiva. Le tempistiche variano per strumento di pagamento.

Carte di credito e di debito. Procedura di chargeback attivabile presso la propria banca o il circuito della carta entro un termine che dipende dal regolamento del circuito (tipicamente 120 giorni). Esiti più favorevoli per non-ricezione di beni o servizi.

Bonifico SEPA. Richiamo del bonifico possibile nelle prime 24-48 ore se la banca beneficiaria collabora; oltre questo termine, la procedura passa per la rogatoria internazionale o per il sequestro penale.

Carte prepagate ricaricabili. Possibilità di blocco rapido se la frode è segnalata immediatamente; spesso il denaro viene già spostato in tempi brevi.

Criptovaluta. Recupero molto difficile ma non impossibile: lo studio ha gestito casi in cui il sequestro preventivo disposto dall’autorità giudiziaria italiana ha consentito il congelamento di wallet presso exchange centralizzati, anche esteri, con successiva restituzione alla persona offesa.

Operazioni non autorizzate su home banking. Il D.Lgs 11/2010 (PSD2) prevede un regime di responsabilità della banca per le operazioni non autorizzate, salvo dolo o colpa grave dell’utente. Le contestazioni più frequenti riguardano l’autenticazione forte, i meccanismi di alert, l’efficacia dei presidi antifrode.

La difesa nei procedimenti per truffa o frode informatica

Lo studio assiste anche le persone indagate o imputate per truffa online, frode informatica, accesso abusivo, sostituzione di persona. La difesa si costruisce su più piani.

Qualificazione giuridica. Truffa, frode informatica e accesso abusivo hanno cornici sanzionatorie e regimi diversi. Una corretta riqualificazione — ad esempio da truffa aggravata a truffa semplice procedibile a querela — può comportare la declaratoria di improcedibilità o significative riduzioni di pena.

Elemento soggettivo. Il dolo della truffa è specifico (procurare un ingiusto profitto con altrui danno). La sua dimostrazione richiede una catena indiziaria che la difesa può attaccare sul piano della coerenza logica e della prova alternativa.

Identificazione dell’autore. Le indagini digitali (analisi degli IP, dei wallet, dei dispositivi, dei flussi di pagamento) sono terreno tecnico: lo studio si avvale di consulenti tecnici informatici per verificare la solidità delle attribuzioni e l’eventuale presenza di profili di errore (ad esempio uso di VPN, accessi da reti condivise, account compromessi).

Patteggiamento, abbreviato, sospensione con messa alla prova. I riti alternativi sono frequentemente utilizzati, con un bilancio costi-benefici valutato in funzione della solidità del quadro accusatorio, della restituzione dell’importo alla persona offesa, della posizione complessiva dell’imputato.

Conferimento di mezzi di prova illeciti. In alcuni procedimenti l’accusa si fonda su materiale acquisito in modalità che la difesa può contestare sotto il profilo della legittimità (acquisizione di dispositivi, escussione di terzi, perquisizioni).

Aree affini e collegamenti

Le truffe online si intrecciano frequentemente con altre fattispecie del cybercrime e dei reati economici: accesso abusivo a sistema informatico (art. 615-ter c.p.), danneggiamento informatico (artt. 635-bis e ss. c.p.), riciclaggio dei proventi delle truffe (art. 648-bis c.p.), violazioni della privacy (D.Lgs 196/2003 e GDPR). Quando la truffa colpisce un’azienda, può aprirsi anche un profilo di responsabilità 231 dell’ente vittima per i reati commessi dai propri dipendenti (es. CEO fraud), o dell’ente autore se la condotta è stata posta in essere nell’interesse della società.

Casi tipo

Caso 1 — Falso e-commerce di elettronica. Cliente vittima dell’acquisto di un televisore mai consegnato da un sito clonato di un noto marketplace, con pagamento via bonifico SEPA su IBAN estero. Lo studio è intervenuto attivando in parallelo: (i) il richiamo bonifico presso la banca italiana, ottenendo il recupero parziale; (ii) la denuncia con elenco delle evidenze digitali raccolte; (iii) la costituzione di parte civile nel procedimento aperto su rogatoria con l’autorità estera.

Caso 2 — Investment scam in criptovaluta. Cliente che, su segnalazione di una “consulente” conosciuta in chat, aveva trasferito somme rilevanti a una piattaforma di trading non autorizzata. La qualificazione del procedimento ha richiesto un’analisi puntuale: per la parte di induzione personale, art. 640 c.p.; per la fase di alterazione del dashboard dei profitti, art. 640-ter c.p. Il sequestro preventivo dei wallet identificati presso un exchange centralizzato ha consentito il congelamento di una quota significativa delle somme.

Caso 3 — CEO fraud. Società italiana vittima di una truffa via posta elettronica: una mail apparentemente proveniente dall’amministratore delegato istruiva il responsabile amministrativo a eseguire un bonifico urgente verso un fornitore estero. Lo studio è intervenuto entro le prime ore segnalando alla banca italiana e a quella beneficiaria, attivando la cooperazione di polizia, e gestendo il profilo 231 dell’ente rispetto ai presidi anti-frode adottati.

FAQ

Sono stato truffato online: cosa devo fare per prima cosa? Tre passi nell’ordine: (1) segnalazione immediata alla banca per il blocco/richiamo del pagamento e l’apertura della procedura di chargeback; (2) raccolta della prova digitale (screenshot, mail integrali con header, URL completi, codici di transazione); (3) denuncia alla Polizia Postale, di persona o sul portale online. La rapidità è decisiva: oltre le 24-48 ore le probabilità di recupero diminuiscono.

Qual è la differenza fra truffa online e frode informatica? La truffa online (art. 640 c.p.) richiede l’inganno di una persona. La frode informatica (art. 640-ter c.p.) agisce direttamente sul sistema informatico, alterandone il funzionamento o intervenendo sui dati. La differenza è strutturale e si traduce in regimi diversi di pena e procedibilità.

Entro quanto tempo va presentata la querela per truffa online? Tre mesi dal giorno in cui la persona offesa ha avuto conoscenza del fatto. Decorso il termine, il diritto di querela si estingue. Le ipotesi aggravate sono invece procedibili d’ufficio.

Posso recuperare il denaro pagato a un truffatore online? Dipende dal mezzo di pagamento e dalla rapidità. Carta di credito: chargeback entro i termini del circuito. Bonifico SEPA: richiamo nelle prime 24-48 ore. Criptovaluta: recupero difficile ma possibile in caso di sequestro penale presso un exchange centralizzato.

Devo denunciare anche se ho perso pochi euro? Sì. Anche piccole somme alimentano il quadro investigativo della Polizia Postale e contribuiscono all’identificazione di reti organizzate. La denuncia è gratuita e può essere presentata online.

La banca è responsabile per le operazioni non autorizzate su home banking? Il D.Lgs 11/2010 (PSD2) prevede un regime di responsabilità della banca, salvo dolo o colpa grave dell’utente. Le contestazioni tipiche riguardano l’efficacia dell’autenticazione forte, gli alert, i presidi antifrode. Lo studio assiste il cliente nel reclamo alla banca, nel ricorso all’ABF (Arbitro Bancario Finanziario) e nella sede giudiziaria.

Esiste un elenco ufficiale dei broker non autorizzati? Consob pubblica periodicamente l’elenco delle piattaforme oscurate e dei soggetti privi di autorizzazione. Verificare l’autorizzazione del soggetto è il primo controllo da fare prima di qualunque versamento.

Come si difende chi è accusato di truffa online? Sui piani della qualificazione giuridica (truffa vs frode informatica vs accesso abusivo), dell’elemento soggettivo (dolo specifico vs mero errore), della solidità delle attribuzioni digitali (IP, wallet, dispositivi). Lo studio si avvale di consulenti tecnici informatici per ogni fascicolo significativo.

Quando rivolgersi allo studio

Sia che tu sia vittima di una truffa online — soprattutto se di importo rilevante o con profili transfrontalieri — sia che tu abbia ricevuto una notifica di indagine per truffa, frode informatica o accesso abusivo, contatta lo studio: nelle prime 24-48 ore si gioca una parte significativa dell’esito, sul piano del recupero del denaro per le vittime e della costruzione difensiva per gli indagati.

Richiedi una consulenza riservata — risposta entro 24 ore. Linea operativa 24/7 attiva per le emergenze.

Letture correlate