I crimini informatici crescono a ritmi che il diritto tradizionale non può più ignorare. Per gli studi legali si apre un mercato nuovo, concreto e in forte espansione: la tutela legale delle vittime di cybercrime.
Partiamo dai numeri
Nel contributo precedente abbiamo parlato della grande ondata normativa in materia di compliance — AI Act, NIS2, CSRD — e di come stia ridisegnando il perimetro dell’attività professionale degli avvocati. Oggi aggiungiamo un tassello ulteriore, strettamente connesso: il crescente fenomeno del cybercrime e la domanda di tutela legale che ne consegue.
Secondo il Rapporto Clusit 2025 — pubblicato dall’Associazione Italiana per la Sicurezza Informatica — nel 2024 l’Italia ha registrato 357 incidenti informatici gravi, con una crescita del 15,2% rispetto all’anno precedente. Può sembrare una cifra contenuta. Non lo è, se si considera che rappresenta il 39% di tutti gli incidenti gravi occorsi in Italia nell’intero quinquennio 2020-2024. Quasi quattro anni concentrati in uno solo.
Il dato più significativo, però, è quello relativo al peso proporzionale del nostro Paese sullo scenario globale. L’Italia subisce oltre il 10% degli attacchi informatici mondiali, pur rappresentando lo 0,7% della popolazione mondiale e circa l’1,8% del PIL globale. Per confronto: Francia, Germania e Regno Unito si attestano tutte intorno al 3-4%. Un’anomalia che dimostra la vulnerabilità strutturale del nostro sistema produttivo.
A livello globale, il quadro è ancora più netto: nel 2024 sono stati rilevati 3.541 attacchi gravi, con un incremento del 27,4% rispetto al 2023. La media mensile è passata dai 139 attacchi del 2019 ai 295 del 2024. Il cybercrime è responsabile dell’86% di questi incidenti: guadagno economico illecito, non guerra informatica o spionaggio.
“L’Italia subisce il 10% degli attacchi informatici mondiali.
In Italia, nello specifico, il cybercrime ha determinato il 78% degli attacchi registrati nel 2024, con un incremento del 40,6% rispetto all’anno precedente. Non è un settore di nicchia che cresce lentamente, è un mercato criminale che raddoppia i volumi nel giro di pochi anni.
A questi numeri si affiancano quelli della Polizia Postale: nel 2024 sono stati aperti 54.554 fascicoli di indagine e denunciate 7.884 persone. Le truffe online hanno raggiunto quota 18.714 casi trattati (+15% rispetto al 2023), con somme sottratte alle vittime pari a 181 milioni di euro, in crescita del 32% rispetto ai 137 milioni del 2023. Le frodi informatiche hanno generato ulteriori danni per 48 milioni di euro.
Le fattispecie che crescono: dal phishing al ransomware
Non tutti i reati informatici sono uguali. È utile conoscere le fattispecie che hanno registrato la crescita maggiore, perché sono quelle per cui imprese e privati cercano — e troveranno sempre di più — assistenza legale qualificata.
Phishing, vishing e smishing. Sono le tecniche di adescamento digitale più diffuse. Il phishing avviene via e-mail: messaggi apparentemente provenienti da banche, enti pubblici o istituti di credito convincono la vittima a inserire credenziali su siti clonati. Il vishing sfrutta le chiamate vocali, lo smishing i messaggi SMS. Nel 2024 il Commissariato di Polizia Online ha ricevuto solo per il phishing 23.896 segnalazioni. Colpiscono persone fisiche, PMI e grandi aziende senza distinzione.
BEC fraud (Business Email Compromise). Il criminale compromette una casella di posta aziendale e si inserisce in una conversazione reale tra imprese, dirottando bonifici verso conti esteri. I dati della Polizia Postale della Lombardia segnalano una crescita del 62% delle CEO fraud nel 2024: truffe in cui il truffatore si spaccia per l’amministratore delegato di un’azienda per convincere dipendenti a disporre pagamenti urgenti verso conti riferibili all’organizzazione criminale.
Ransomware. Il virus che cripta i dati aziendali e li rende inaccessibili fino al pagamento di un riscatto è diventato uno strumento industrializzato. Il fenomeno del Cybercrime as a Service — come ha definito il Governo nel DDL Cybersicurezza — ha reso disponibili questi strumenti anche a criminali privi di competenze tecniche avanzate, abbattendo la barriera d’ingresso al crimine informatico.
Truffe di trading online. La Polizia Postale segnala una “forte espansione” delle truffe realizzate tramite proposte di investimento online. Le vittime — non più solo anziani vulnerabili, ma diverse tipologie di investitori — vengono convinte a immettere capitali in piattaforme fraudolente che poi spariscono.
Social engineering. Non è una tecnica specifica, ma un approccio: la manipolazione psicologica della vittima per indurla a compiere azioni nell’interesse del criminale. Sempre più raffinata, oggi amplificata dall’uso dell’intelligenza artificiale generativa per creare messaggi personalizzati, deepfake vocali e identità digitali false.
“181 milioni di euro sottratti in truffe online nel 2024: +32% rispetto all’anno prima.
Il codice penale c’è: ma serve saperlo usare
Il legislatore italiano non è rimasto fermo. La legge n. 547/1993 ha introdotto nel Codice Penale le prime norme sui reati informatici. Nel tempo il quadro si è arricchito. Le principali fattispecie applicabili ai casi di cybercrime che un avvocato deve padroneggiare includono:
- Art. 615-ter c.p. — Accesso abusivo a sistema informatico o telematico: si applica quando il criminale entra illecitamente nei sistemi aziendali.
- Art. 640-ter c.p. — Truffa informatica: la norma cardine per phishing, frodi BEC e truffe di trading online.
- Art. 629 c.p. — Estorsione: applicabile al ransomware, quando il criminale richiede un riscatto per sbloccare i dati sequestrati.
- Art. 635-bis e ss. c.p. — Danneggiamento di sistemi informatici: si applica quando l’attacco causa la distruzione o il deterioramento di dati.
- Art. 617-quater c.p. — Intercettazione di comunicazioni informatiche: per i casi di compromissione della corrispondenza elettronica.
A questo si aggiungono le implicazioni amministrative e civili: ogni attacco informatico che determina una violazione di dati personali fa scattare gli obblighi del GDPR (notifica al Garante entro 72 ore, comunicazione agli interessati), quelli della Direttiva NIS2 (notifica al CSIRT Italia entro 24 ore per i soggetti obbligati) e, nei casi più gravi, procedure di crisis management che richiedono competenze legali immediate.
Il DDL Cybersicurezza presentato dal Governo e diventato Legge 28 giugno 2024, n. 90, pubblicata in Gazzetta Ufficiale del 2 luglio 2024 prevede una prima segnalazione entro 24 ore dall’incidente e la notifica completa entro 72 ore dall’incidente.
Una norma che crea una nuova responsabilità e, di conseguenza, una nuova necessità di assistenza legale.
L’opportunità di business per l’avvocato
Chiediamoci, dunque, dove si posiziona concretamente l’avvocato in questo scenario. La risposta è: in più punti della stessa catena del valore, sia sul lato della prevenzione che su quello della reazione all’incidente.
Assistenza alle vittime in sede penale. Chi subisce una truffa informatica, un attacco BEC o un ransomware ha bisogno di un avvocato che sappia sporgere denuncia in modo efficace, interagire con la Polizia Postale, supportare le indagini e, quando possibile, avviare azioni di recupero del danno. Non si tratta solo di compilare un modulo: la qualificazione giuridica del fatto, la tempistica della denuncia e la preservazione delle prove digitali sono decisive per l’esito del procedimento.
Tutela civile e risarcimento del danno. Parallelamente al procedimento penale — o in sua alternativa — la vittima può agire in sede civile per il risarcimento del danno. Questo vale in modo particolare per le frodi BEC tra imprese, dove l’importo sottratto può essere molto elevato e la possibilità di recuperarlo dipende dalla rapidità e dalla competenza dell’azione legale.
Gestione legale dell’incidente informatico. Le aziende colpite da un attacco hanno bisogno di orientamento immediato: cosa comunicare e a chi, come adempiere agli obblighi di notifica verso il Garante Privacy e le autorità NIS2, come gestire la comunicazione verso clienti e stakeholder, come documentare l’accaduto per limitare le responsabilità. L’avvocato diventa il “project manager” legale dell’emergenza.
Consulenza preventiva e contrattualistica. Prima che l’attacco avvenga, le aziende hanno bisogno di contratti adeguati con i propri fornitori di servizi informatici, clausole di responsabilità chiare, policy interne conformi a GDPR e NIS2. Una falla contrattuale — un fornitore di cloud privo di adeguate clausole di sicurezza, o un contratto che non regola chi risponde in caso di data breach — si trasforma in un rischio patrimoniale enorme.
Modelli 231 e compliance penale. I reati informatici rientrano nel catalogo dei reati presupposto del D.Lgs. 231/2001. Le aziende strutturate devono aggiornare i propri modelli organizzativi per includere i rischi cyber tra quelli da presidiare. Una nicchia ancora poco esplorata dagli studi legali, ma in rapida crescita.
Come strutturare l’offerta: tre livelli di intervento
Nel mio lavoro con gli studi professionali, vedo spesso la stessa difficoltà: riconoscere un’opportunità di mercato è una cosa, trasformarla in un’offerta commerciale strutturata è un’altra. Per il mercato della tutela legale da cybercrime, il modello più efficace prevede tre livelli:
Livello 1 — La consulenza di emergenza. Risposta rapida (H24 o con tempi garantiti) a imprese colpite da attacchi informatici. Il servizio copre: qualificazione giuridica immediata dell’evento, adempimenti obbligatori verso le autorità, denuncia, preservazione delle prove. È il servizio di maggiore visibilità e ha il vantaggio di generare fidelizzazione.
Livello 2 — La tutela risarcitoria. Azioni civili e penali per il recupero del danno. Richiede tempi più lunghi, ma può generare parcelle significative proporzionate all’importo del danno subito. Particolarmente indicato per le frodi BEC tra imprese e per i casi di ransomware con richieste di riscatto elevate.
Livello 3 — La prevenzione strutturata. Contratti, policy, modelli 231, formazione del personale, consulenza continuativa su GDPR e NIS2 in chiave cyber. È il livello a maggiore potenziale di fatturato ricorrente: una volta acquisito il cliente, il rapporto si consolida nel tempo.
Va precisato che non stiamo descrivendo un mercato futuro, ma di un mercato già attivo, già redditizio. Ogni giorno in Italia vengono denunciate decine di truffe informatiche, subiti attacchi ransomware, notificati data breach al Garante Privacy. Ogni giorno ci sono imprese e privati che cercano un avvocato in grado di orientarsi in questo labirinto.
La domanda che ciascuno studio legale dovrebbe porsi non è “se” questo mercato esista, ma “se” sia attrezzato per intercettarlo. Competenze ibride — diritto penale informatico, GDPR, NIS2, contrattualistica digitale — e capacità di risposta rapida sono le variabili discriminanti. Non basta avere uno sportello generico: il cliente vittima di un attacco ha bisogno di qualcuno che conosca le procedure della Polizia Postale, i tempi del Garante, le clausole di un contratto cloud.
