Mi hanno hackerato WhatsApp, Facebook o Instagram: chi risponde dei danni ?

La violazione di un account WhatsApp, Facebook o Instagram è un'esperienza sempre più frequente e può produrre conseguenze che vanno ben oltre il semplice disagio tecnico: furto di identità digitale, truffe perpetrate ai danni dei propri contatti, diffusione di immagini private, accesso non autorizzato a conversazioni riservate, danni alla reputazione personale o professionale. Quando accade, è lecito chiedersi chi risponde dei danni subiti e quali strumenti offre l'ordinamento italiano per tutelare la vittima. La risposta non è mai automatica: dipende dalle modalità della violazione, dai soggetti coinvolti, dalle misure di sicurezza adottate e dalla tempestività dell'intervento successivo.

1Cosa si intende per "account hackerato": le forme più comuni di violazione

Il termine "hacking" viene utilizzato nel linguaggio comune per descrivere situazioni molto diverse tra loro, che il diritto qualifica in modo differente. Le ipotesi più frequenti riguardano:

• Il furto di credenziali mediante tecniche di phishing (messaggi ingannevoli che inducono l'utente a inserire le proprie credenziali su pagine false), social engineering o violazione di database di terze parti in cui le credenziali erano memorizzate.
• Il dirottamento del numero di telefono (SIM swapping): l'aggressore convinces l'operatore telefonico a trasferire il numero della vittima su una SIM di sua proprietà, acquisendo così il controllo di tutti i servizi — incluso WhatsApp — che usano quel numero come autenticazione.
• L'accesso abusivo tramite sessioni aperte su dispositivi condivisi o non protetti, o tramite applicazioni malevole (malware, spyware) installate sul dispositivo della vittima.
• La clonazione dell'account su WhatsApp, che può avvenire trasferendo la verifica via SMS su un altro dispositivo sfruttando l'ingenuità della vittima.

Ciascuna di queste modalità ha implicazioni giuridiche specifiche, sia sul piano della responsabilità penale dell'autore sia su quello del risarcimento del danno spettante alla vittima.

2La responsabilità penale dell'autore della violazione

Sul piano penale, l'ordinamento italiano punisce in modo diretto chi compie l'accesso non autorizzato a un sistema informatico o telematico. La norma di riferimento principale è l'articolo 615-ter del codice penale, che sanziona chiunque si introduca abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, o vi si mantenga contro la volontà espressa o tacita di chi ha il diritto di escluderlo. La pena è aumentata in presenza di circostanze aggravanti, tra cui l'uso della violenza, il fatto commesso da pubblici ufficiali o da chi esercita professioni che richiedono l'accesso a sistemi informatici, o il danno grave al sistema o ai dati.

Ulteriori fattispecie penali possono concorrere:

• Art. 640-ter c.p. — Frode informatica: si configura quando, tramite l'account violato, si alterano il funzionamento di un sistema informatico o si interviene sui dati per conseguire un ingiusto profitto con altrui danno. È la norma tipicamente contestata quando l'account viene usato per chiedere denaro ai contatti della vittima spacciandosi per lei.
• Art. 494 c.p. — Sostituzione di persona: chi usa l'account altrui per far credere di essere il titolare e trae in inganno terzi risponde di questo reato.
• Art. 617-quater c.p. — Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche: rileva quando vengono intercettate le comunicazioni private dell'utente.
• Art. 612-bis c.p. — Atti persecutori e art. 612-ter c.p. — Diffusione illecita di immagini o video sessualmente espliciti (revenge porn): entrano in gioco quando la violazione è finalizzata a molestare la vittima o a diffondere sue immagini intime.
• Artt. 167 e ss. del D.Lgs. 30 giugno 2003, n. 196 (Codice della Privacy), come modificato dal D.Lgs. 10 agosto 2018, n. 101: punisce il trattamento illecito di dati personali effettuato per trarne profitto o per arrecare danno ad altri.

3La responsabilità della piattaforma: quando Meta o WhatsApp possono rispondere?

Questa è la questione più delicata e quella su cui le aspettative degli utenti spesso non coincidono con quanto l'ordinamento prevede. La responsabilità della piattaforma — che si tratti di Meta (gestore di Facebook, Instagram e WhatsApp) o di altro soggetto — non può essere affermata in modo automatico per il solo fatto che la violazione si sia verificata.

Il quadro normativo di riferimento a livello europeo è principalmente il Regolamento (UE) 2016/679 (GDPR), che impone ai titolari del trattamento — e quindi alle piattaforme — obblighi in materia di sicurezza dei dati personali (art. 32 GDPR). In caso di violazione dei dati personali (data breach), il titolare del trattamento è tenuto a notificare l'incidente all'autorità di controllo competente entro 72 ore (art. 33 GDPR) e, quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, deve comunicarlo anche agli interessati senza ingiustificato ritardo (art. 34 GDPR).

Sul piano della responsabilità civile della piattaforma nei confronti dell'utente, occorre distinguere:

• Violazione derivante da un difetto di sicurezza strutturale della piattaforma: se il breach è imputabile a una vulnerabilità del sistema non adeguatamente presidiata, la piattaforma potrebbe rispondere ai sensi dell'art. 82 GDPR, che prevede il diritto al risarcimento del danno per chiunque abbia subito un danno materiale o immateriale a causa di una violazione del regolamento.
• Violazione derivante da condotta colposa dell'utente: se la vittima ha condiviso le proprie credenziali, non ha attivato l'autenticazione a due fattori, ha risposto a un messaggio di phishing evidente o ha utilizzato password deboli, la responsabilità della piattaforma si riduce o si esclude, potendo invece configurarsi un concorso colposo della vittima stessa ai sensi dell'art. 1227 c.c.
• Mancata risposta della piattaforma dopo la segnalazione: se l'utente ha tempestivamente segnalato la violazione attraverso i canali ufficiali e la piattaforma non ha adottato misure idonee in tempi ragionevoli, questo elemento può assumere rilievo ai fini della responsabilità, sia contrattuale (inadempimento delle condizioni di servizio) sia extracontrattuale.

4I danni risarcibili: una mappa delle conseguenze giuridicamente rilevanti

Non ogni disagio connesso alla violazione di un account dà automaticamente diritto al risarcimento. Occorre che il danno sia provato, che sia causalmente connesso alla violazione e che sussista un soggetto responsabile. Le principali categorie di danno risarcibile sono le seguenti:

Il danno non patrimoniale — che include il danno alla reputazione, alla privacy e alla dignità della persona — è risarcibile ai sensi dell'art. 2059 c.c. nei limiti in cui la lesione riguardi diritti costituzionalmente tutelati (quali il diritto alla riservatezza ex art. 2 Cost., il diritto all'onore e alla reputazione, il diritto all'identità personale) e la lesione superi la soglia della mera tollerabilità. 

5Cosa fare immediatamente: le azioni concrete dopo la violazione

La tempestività dell'intervento può fare la differenza sia sul piano tecnico — limitando i danni — sia su quello giuridico, poiché incide sulla prova e sulla possibilità di dimostrare che la vittima non ha tenuto un comportamento negligente. Di seguito le azioni prioritarie.

5.1 Recupero dell'account e messa in sicurezza

• Tentare il recupero tramite i canali ufficiali della piattaforma: ogni piattaforma dispone di procedure guidate per la segnalazione di account compromessi. Per Facebook e Instagram è disponibile il portale di assistenza di Meta; per WhatsApp il recupero avviene attraverso la re-registrazione del numero con verifica via SMS o chiamata.
• Modificare immediatamente la password del proprio indirizzo email principale e di tutti i servizi che condividono le stesse credenziali, qualora si abbia ancora accesso.
• Attivare l'autenticazione a due fattori (2FA) su tutti gli account recuperati, per prevenire ulteriori accessi non autorizzati.
• Revocare tutte le sessioni aperte (funzione disponibile nelle impostazioni di sicurezza di ciascuna piattaforma) per disconnettere eventuali dispositivi non autorizzati.
• Contattare l'operatore telefonico in caso di sospetto SIM swapping, per bloccare il numero e ottenere una nuova SIM.

5.2 Avvisare i propri contatti

È fondamentale avvisare tempestivamente amici, familiari e colleghi che l'account è stato compromesso e che eventuali messaggi ricevuti — specie quelli che chiedono denaro, codici o link — non provengono dal titolare. Questo non è solo un atto di cortesia: limita il numero di terzi che possono cadere vittime di truffe, riducendo potenziali responsabilità concorrenti e la portata del danno complessivo.

5.3 Raccogliere e conservare le prove

Prima di ogni altra azione, e durante tutto il processo, è essenziale conservare ogni elemento probatorio: screenshot con data e ora visibili, email di notifica di accessi non riconosciuti, log di attività dell'account, messaggi ricevuti o inviati dall'account durante la violazione, eventuali ricevute di transazioni effettuate dall'autore con l'account violato. Questi elementi saranno indispensabili per la denuncia penale e per qualsiasi successiva azione civile.

5.4 Segnalare alla piattaforma e, se necessario, al Garante

La segnalazione alla piattaforma va effettuata per iscritto attraverso i canali ufficiali, conservando copia di tutto ciò che si invia e si riceve. Se la piattaforma non risponde adeguatamente e si ritiene che vi sia stata una violazione delle norme sulla protezione dei dati personali, è possibile presentare un reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), anche in forma autonoma rispetto alla denuncia penale.

5.5 Presentare denuncia o querela

Nei casi in cui la violazione abbia prodotto danni economici, reputazionali o abbia comportato la diffusione di dati o immagini private, è opportuno rivolgersi alla Polizia Postale e delle Comunicazioni, che dispone di specifiche competenze in materia di crimini informatici. La denuncia o querela può essere presentata anche presso qualsiasi ufficio di Polizia di Stato o Stazione dei Carabinieri, con la documentazione raccolta.

6La posizione del titolare dell'account: quando rischia di rispondere anche lui?

Una questione spesso trascurata riguarda la posizione giuridica del titolare dell'account dopo la violazione: è possibile che anche lui risponda per danni causati tramite il suo account?

In linea di principio, il titolare dell'account non risponde dei danni causati da terzi che abbiano abusivamente preso il controllo del suo profilo, a condizione che egli non abbia contribuito alla violazione con un comportamento negligente. Tuttavia, alcuni scenari meritano attenzione:

• Negligenza nella custodia delle credenziali: chi utilizza password banali, le condivide con altri o non adotta le misure di sicurezza elementari messe a disposizione dalla piattaforma può vedersi opporre un concorso di colpa nella produzione del danno, con riduzione o esclusione del risarcimento spettantegli (art. 1227 c.c.).
• Ritardo nella segnalazione: chi si accorge della violazione e non interviene tempestivamente, lasciando che l'account continui a essere usato per fini illeciti, potrebbe essere ritenuto in parte responsabile per i danni ulteriori.
• Account aziendali e account di professionisti: quando l'account violato appartiene a una società o a un professionista che tratta dati dei propri clienti, la violazione può comportare obblighi di notifica del data breach e responsabilità specifiche ai sensi del GDPR in capo al titolare del trattamento.

7Profili di protezione dei dati personali e competenze del Garante

La violazione di un account social produce quasi sempre anche una violazione dei dati personali: vengono esposti messaggi, fotografie, contatti, posizioni geografiche, abitudini e preferenze dell'utente. Sul piano della protezione dei dati, occorre tenere presenti alcuni elementi fondamentali.

Il GDPR distingue tra il titolare del trattamento (la piattaforma, responsabile della sicurezza dei dati degli utenti) e l'interessato (l'utente). L'art. 82 GDPR prevede esplicitamente che chiunque abbia subito un danno materiale o immateriale a causa di una violazione del regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. Il titolare del trattamento è esonerato da responsabilità solo se dimostra che l'evento dannoso non gli è in alcun modo imputabile.

Per le violazioni più gravi — quelle che coinvolgono un numero elevato di utenti o categorie particolari di dati (dati sanitari, dati biometrici, orientamento sessuale) — il Garante può irrogare sanzioni amministrative che, ai sensi dell'art. 83 GDPR, possono raggiungere soglie molto elevate. 

8Il furto di account come strumento di truffa: il danno ai terzi vittime del raggiro

Una delle conseguenze più frequenti e dolorose della violazione di un account WhatsApp o Facebook è il suo utilizzo immediato per truffare i contatti della vittima: l'autore, spacciandosi per il titolare, chiede urgentemente denaro (spesso tramite bonifico, ricariche postepay o applicazioni di pagamento istantaneo come PayPal o Satispay), sostiene di essere in difficoltà e sollecita una risposta rapida che non lasci tempo di verificare.

I terzi truffati in questo modo sono a tutti gli effetti vittime di frode informatica ai sensi dell'art. 640-ter c.p. e possono, in linea di principio, agire per il risarcimento del danno nei confronti dell'autore della truffa. Qualora l'autore risulti non identificabile o non solvibile, la possibilità di recupero delle somme resta incerta e dipende dalle circostanze del caso concreto. Lo Studio Legale Giammatteo non garantisce in alcun caso il recupero delle somme versate né un determinato esito del procedimento.

È importante che i terzi truffati, a loro volta, presentino denuncia indicando tutti gli elementi in loro possesso: screenshot delle conversazioni, dati del conto o del servizio di pagamento usato per ricevere il denaro, eventuali numeri di telefono o indirizzi email utilizzati dall'autore. La Polizia Postale dispone di strumenti investigativi specifici per risalire all'autore attraverso i dati di pagamento e i log delle piattaforme.