Entrare nell’email di qualcuno
è un reato penale
Cosa dice la legge, cosa rischiano i minorenni, come si scoprono gli accessi abusivi — e perché “era solo uno scherzo” non è una difesa.
“Ma io ho solo guardato le sue email.” “Era la password di un mio compagno, me l’ha detta lui una volta.” “Volevo solo fare uno scherzo.” “Non ho cancellato nulla, ho solo letto.” Queste frasi, che un insegnante sente più spesso di quanto si immagini, descrivono tutte un comportamento che il Codice Penale italiano classifica come reato: l’accesso abusivo a un sistema informatico.
Questo articolo spiega tre cose: cosa dice la legge, come vengono scoperti gli accessi abusivi (spoiler: ogni azione lascia tracce), e cosa rischiano concretamente i responsabili — compresi gli studenti minorenni. Non è scritto per spaventare, ma per rendere chiaro che nel mondo digitale non esiste il concetto di “era solo un gioco”.
Cosa dice la legge: l’art. 615-ter del Codice Penale
Il reato di riferimento è l’articolo 615-ter del Codice Penale, introdotto dalla Legge 547/1993 (la prima legge italiana sui reati informatici) e aggiornato dalla Legge 90/2024. Il testo è chiaro:
«Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.»
Ci sono diversi punti che meritano di essere scomposti, perché ognuno ha implicazioni importanti.
“Chiunque” — vale anche per i minorenni
La parola “chiunque” non prevede eccezioni. I minorenni con più di 14 anni sono penalmente imputabili in Italia. Tra i 14 e i 18 anni, il procedimento avviene davanti al Tribunale per i Minorenni, con pene ridotte e percorsi rieducativi — ma resta un procedimento penale, con un fascicolo, un giudice e possibili conseguenze anche a lungo termine (es. precedenti che emergono in certificati per concorsi pubblici o adozioni).
“Abusivamente si introduce” — basta entrare
Non serve rubare dati, non serve cancellare nulla, non serve fare danni. Il reato si perfeziona con il solo fatto di entrare. La Corte di Cassazione (Sezioni Unite, sentenza n. 4694/2011 “Casani”) ha stabilito che il reato è “di mera condotta”: l’accesso abusivo in sé è sufficiente, indipendentemente dallo scopo. “Volevo solo guardare” è una confessione, non una difesa.
“Protetto da misure di sicurezza” — una password basta
Il sistema deve avere almeno una misura di protezione. Una password — anche semplice — è sufficiente. Un account Google Workspace protetto da password (anche se la password è “pippo”) è un sistema protetto ai fini della legge. La Polizia Postale ha chiarito che la semplicità della password non riduce la tutela: rappresenta comunque la volontà del titolare di escludere l’accesso altrui.
“Vi si mantiene contro la volontà” — anche se una volta avevi il permesso
Questo aspetto è cruciale in ambito scolastico. Se un compagno ti ha dato la sua password una volta per un motivo specifico, usarla successivamente senza il suo consenso attuale è reato. L’autorizzazione non è un lasciapassare permanente. La Cassazione (sentenza n. 40295/2024) ha confermato che anche l’uso di credenziali legittime per scopi non autorizzati costituisce accesso abusivo.
Non solo 615-ter: i reati che si aggiungono
Un accesso abusivo a un account email o scolastico può configurare più reati contemporaneamente, ciascuno con le proprie pene.
| Reato | Articolo | Pena | Quando scatta |
|---|---|---|---|
| Accesso abusivo | 615-ter c.p. | Reclusione fino a 3 anni | Il solo fatto di entrare nell’account altrui |
| Detenzione abusiva di credenziali | 615-quater c.p. | Reclusione fino a 2 anni | Possedere o condividere la password di qualcun altro |
| Violazione di corrispondenza | 616 c.p. | Reclusione fino a 1 anno | Leggere le email altrui (estensione del segreto epistolare) |
| Danneggiamento informatico | 635-bis c.p. | Reclusione da 6 mesi a 3 anni | Cancellare, alterare o rendere inaccessibili dati |
| Sostituzione di persona | 494 c.p. | Reclusione fino a 1 anno | Inviare messaggi spacciandosi per qualcun altro |
| Furto di identità digitale | 640-ter c.p. | Reclusione da 2 a 6 anni | Usare l’identità altrui per truffa informatica |
Uno studente scopre la password dell’account scolastico di un compagno. Entra (615-ter), legge le email (616), cambia la password impedendo l’accesso al legittimo proprietario (635-bis), e invia un messaggio offensivo a un docente fingendosi il compagno (494). Quella che è iniziata come una “bravata” configura quattro reati penali distinti.
Ogni azione lascia tracce: come si scoprono gli accessi abusivi
Nel mondo digitale, nulla è invisibile. Ogni login, ogni click, ogni email aperta genera un record in un registro — chiamato log — che viene conservato dal sistema. Chi accede abusivamente a un account spesso non lo sa (o sottovaluta le tracce che lascia), ma per un amministratore di sistema o un investigatore forense ricostruire esattamente cosa è successo è spesso un lavoro metodico e relativamente semplice.
I log di Google Workspace: l’occhio che vede tutto
Nel contesto scolastico, gli account sono tipicamente su Google Workspace for Education. Quello che molti studenti non sanno è che l’amministratore del dominio (il referente ICT della scuola) ha accesso a un sistema di audit log estremamente dettagliato, che registra:
Login Log
Ogni accesso all’account: data, ora, indirizzo IP, dispositivo usato, browser, sistema operativo, esito (successo/fallimento), metodo di autenticazione.
Gmail Log
Email inviate, ricevute, lette, cancellate. Orario preciso, destinatari, oggetto. Non il contenuto del messaggio, ma tutti i metadati.
Drive Audit Log
Ogni file aperto, modificato, scaricato, condiviso, spostato nel cestino. Con timestamp, IP, dispositivo.
Token e sessioni
Le sessioni attive, i dispositivi autorizzati, le app collegate. Si vede se qualcuno ha effettuato l’accesso da un dispositivo diverso dal solito.
Se uno studente accede all’account di un compagno da casa alle 22:47, il log registrerà: l’indirizzo IP della sua connessione domestica, il modello del suo telefono, il browser usato, e ogni singola azione compiuta nell’account — con precisione al secondo. L’amministratore può poi correlare l’IP con il provider di rete (Telecom, Vodafone, etc.) e, in caso di indagine, le forze dell’ordine possono chiedere al provider di identificare l’intestatario della linea.
La digital forensics: la scienza delle prove digitali
Quando un caso diventa oggetto di indagine — scolastica o penale — entra in gioco la digital forensics (informatica forense): una disciplina scientifica che si occupa di identificare, acquisire, conservare e analizzare le prove digitali in modo che siano utilizzabili in tribunale.
La Legge 48/2008 ha stabilito i principi fondamentali: le prove digitali devono essere acquisite con procedure che ne garantiscano l’integrità e la non alterabilità. In pratica, questo significa:
🔒 Identificazione e isolamento
I sistemi coinvolti vengono isolati per evitare che le prove vengano alterate. Nel caso di account cloud, vengono esportati i log di audit prima che scadano.
📋 Acquisizione forense
I dati vengono copiati con una procedura certificata (copia “bit a bit” per i dispositivi fisici, export API per i servizi cloud). Viene calcolato un hash (impronta digitale matematica) della copia per dimostrare che non è stata modificata.
🔬 Analisi
I log vengono analizzati per ricostruire la cronologia degli eventi: chi ha fatto cosa, quando, da dove. Si incrociano gli indirizzi IP con i dati del provider, i dispositivi con le sessioni, gli orari con le attività.
📄 Relazione tecnica
Il consulente tecnico produce una perizia informatica che può essere presentata in giudizio come prova. Include la catena di custodia delle prove, la metodologia usata, e le conclusioni.
Come si svolge un’indagine in ambiente scolastico
Quando si sospetta un accesso abusivo a un account scolastico, il protocollo segue un percorso preciso. Vediamo le fasi.
1️⃣ Segnalazione
Uno studente o un docente segnala un’anomalia: email inviate che non ha scritto, impostazioni cambiate, file spostati, password non funzionante, messaggi letti che erano nuovi.
2️⃣ Verifica iniziale da parte del referente ICT
L’amministratore di Google Workspace accede alla Console di Amministrazione → Rapporti → Audit e indagini. Controlla i log di accesso dell’account compromesso: cerca sessioni da IP anomali, dispositivi sconosciuti, orari insoliti.
3️⃣ Correlazione degli indizi
L’IP sospetto viene confrontato con quelli noti degli altri account scolastici. Se lo stesso IP risulta usato per l’account regolare di un altro studente nello stesso periodo, si crea una correlazione. Anche il device fingerprint (modello del telefono, versione del browser) può collegare l’accesso a un dispositivo specifico.
4️⃣ Conservazione delle prove
Prima di qualsiasi intervento, l’amministratore esporta i log in formato non modificabile (PDF, CSV con hash) e li conserva. Questa è la fase più delicata: prove alterate o acquisite in modo improprio possono essere invalidate.
5️⃣ Comunicazione al Dirigente Scolastico
Il referente ICT produce un report tecnico e lo consegna al Dirigente, che valuta se procedere con un provvedimento disciplinare, una comunicazione alla famiglia, o una segnalazione alle autorità.
6️⃣ Eventuale denuncia
Se il fatto configura un reato (e spesso lo fa), la scuola può presentare denuncia alla Polizia Postale o ai Carabinieri. Che il responsabile sia maggiorenne o minorenne, il procedimento segue il suo corso.
L’errore più comune di chi accede abusivamente a un account è credere di non lasciare tracce. In realtà, i log di Google Workspace conservano dati dettagliati per mesi. Anche cancellare la cronologia del browser sul proprio dispositivo non serve: le tracce sono sul server, non sul telefono dell’intrusore. E sono accessibili solo all’amministratore, non all’utente.
Le conseguenze reali: non solo la legge
Oltre al procedimento penale, le conseguenze di un accesso abusivo in ambito scolastico sono molteplici e concrete.
Disciplinari
Sospensione, voto in condotta abbassato, fino all’esclusione dallo scrutinio con l’obbligo di sostenere l’esame di Stato come privatista. Il regolamento d’istituto prevede quasi sempre sanzioni specifiche per l’uso improprio degli strumenti informatici.
Familiari
La famiglia viene convocata. I genitori del minore possono essere chiamati a risarcire i danni. Il rapporto di fiducia con la scuola si compromette.
Penali
Denuncia, indagini, eventuale processo davanti al Tribunale per i Minorenni. Anche senza condanna, il procedimento lascia tracce nel fascicolo personale.
Future
Precedenti penali (anche da minorenne) possono emergere in certificati per concorsi pubblici, forze dell’ordine, adozioni. Quella “bravata” dei 16 anni può ricomparire a 30.
Come proteggere il proprio account
✅ Le 5 regole per gli studenti
Con nessuno. Neanche con il migliore amico. Neanche “solo per un attimo”. Se qualcuno accede col tuo account e combina guai, la prima persona sospettata sei tu.
Il tuo nome + anno di nascita, il nome della fidanzata/o, la squadra del cuore + “123”: sono le prime che un compagno proverebbe. Usa una passphrase lunga e unica (vedi il nostro articolo sulle password).
Con la 2FA, anche chi conosce la tua password non può entrare senza il tuo telefono. Attivala dalle impostazioni di sicurezza del tuo account Google.
Computer del laboratorio, tablet della scuola, telefono prestato: esci sempre dall’account. Un “rimasto collegato” è un invito.
Se trovi email che non hai mandato, impostazioni cambiate, o non riesci ad accedere: avvisa immediatamente il docente o il referente ICT. Prima segnali, più facile è risalire a chi ha fatto cosa.
Quiz: conosci i rischi?
1. Un compagno mi dice la sua password “per farmi vedere una cosa” su Gmail. Una settimana dopo la uso per curiosità. È reato?
2. Non ho rubato la password: il mio compagno era rimasto collegato sul PC del laboratorio e io ho solo letto le email. È comunque un reato?
3. Ho 15 anni. Posso essere denunciato per aver hackerato l’email di un compagno?
4. La scuola può vedere da quale IP ho effettuato l’accesso all’account del mio compagno?
5. Ho solo cambiato lo sfondo di Gmail del mio compagno per scherzo, senza leggere nulla. È reato?
Il messaggio finale: rispetto digitale = rispetto reale
L’account email scolastico di un compagno è — legalmente — il suo domicilio digitale. Il Codice Penale lo protegge con lo stesso principio con cui protegge l’abitazione: nessuno può entrarci senza permesso. Il fatto che la “porta” sia una password anziché una serratura non cambia nulla.
Entreresti a casa di un compagno di nascosto, mentre non c’è, per curiosare nei suoi cassetti?
Probabilmente no. Eppure, entrare nel suo account è esattamente la stessa cosa — e la legge lo tratta allo stesso modo. Con la differenza che nel mondo digitale, a differenza di quello fisico, ogni tuo passo viene registrato.
La consapevolezza digitale non riguarda solo il phishing, le truffe e i fuffaguru — riguarda anche il modo in cui trattiamo gli spazi digitali delle persone intorno a noi. Proteggere il proprio account e rispettare quello degli altri sono due facce della stessa medaglia.
Riferimenti normativi e risorse
| Risorsa | Cosa trovi |
|---|---|
| Art. 615-ter c.p. | Accesso abusivo a un sistema informatico — reclusione fino a 3 anni (mod. L. 90/2024). |
| Art. 615-quater c.p. | Detenzione/diffusione abusiva di credenziali — reclusione fino a 2 anni. |
| Art. 616 c.p. | Violazione di corrispondenza — include email e messaggi digitali. |
| Legge 48/2008 | Ratifica Convenzione di Budapest — principi per l’acquisizione delle prove digitali. |
| Cass. SS.UU. 4694/2011 “Casani” | Sentenza fondamentale: il 615-ter è reato di mera condotta. |
| Cass. 40295/2024 | L’uso improprio di credenziali legittime è accesso abusivo. |
| commissariatodips.it | Polizia Postale: segnalazioni, denunce online, informazioni. |
| Articoli HOS correlati | Phishing · Password · Ingegneria Sociale · Fuffaguru |