Rapporto esplicativo

guadagnare denaro. Si parte ovviamente dal presupposto che se la vittima conoscesse le vere intenzioni e l’identità del phisher, non metterebbe mai i propri dati a sua disposizione.

Il phishing rappresenta una diffusa forma di criminalità (cibernetica) globale che oggi anno produce miliardi di danni. Accanto ai danni propriamente finanziari, derivanti ad esempio dall’accesso ai conti bancari o ai dati delle carte di credito di terzi, si contano molteplici danni indiretti, quali la perdita di dati personali o di documenti segreti, il lavoro e il denaro investiti in misure di sicurezza, il danno all’immagine di domini di primo livello nazionali (country code top-level domain) come «.ch» o, più in generale, la perdita di fiducia in Internet.

L’azione dei phisher di tutto il mondo poggia su un’ottima rete organizzativa, sono estremamente creativi, reagiscono velocemente e utilizzano le tecnologie più avanzate. Seguire le loro attività comporta un elevato dispendio di risorse e i procedimenti penali a loro carico sono lunghi e lenti a causa della natura multinazionale del loro operato.

L’efficacia di un’azione contro i phisher dipende in primo luogo dalla rapidità di intervento: più a lungo si lascia durare un attacco di phishing, maggiore è il pericolo che il phisher arrivi ai dati personali di un utente di Internet.

SWITCH, quale gestore del registro del nome di dominio «.ch», può intervenire direttamente contro attacchi di phishing sia bloccando l’utilizzo di un nome di dominio sia revocandone l’attribuzione. Come riportato nel rapporto semestrale 2007/2 della Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (MELANI), SWITCH e il Servizio nazionale di coordinazione per la lotta contro la criminalità su Internet (SCOCI) hanno concluso una convenzione di collaborazione che apre la strada verso interventi in tale senso. Qualora sorga il sospetto che un determinato nome di dominio viene utilizzato unicamente per phishing, lo SCOCI informerà SWITCH, che a sua volta provvederà a bloccare il nome di dominio in questione. Grazie a questa prassi è stato registrato un netto calo dei reati di phishing perpetrati attraverso il dominio «.ch».

In caso di blocco di un nome di dominio dietro segnalazione dello SCOCI, SWITCH si riserva la facoltà di revocare il nome di dominio sospetto, qualora la sua attribuzione o il suo mantenimento rischi di far ricadere sul gestore del nome di dominio la responsabilità giuridica del fatto. In tale caso la revoca viene concordata con l’UFCOM (cfr. punto 6.3 lett. e delle prescrizioni tecniche e amministrative [PTA] relative all’attribuzione e alla gestione di nomi di dominio di secondo livello che dipendono dal dominio Internet «.ch»; RS 784.101.113/2.13).

È sensato e necessario sancire attraverso una nuova disposizione dell’ORAT la suddetta collaborazione con lo SCOCI in materia di phishing ed estenderla agli altri enti riconosciuti dall’UFCOM, pubblicati nelle suddette PTA. Il nuovo articolo 14f^bisnon deve, tuttavia, soltanto permettere a SWITCH di reagire immediatamente qualora si presenti il pericolo di una propria responsabilità giuridica, bensì anche di intervenire in difesa di terzi (cpv. 1 lett. a), che spesso non sono in grado nemmeno di riconoscere un attacco di phishing.

L’articolo 14f^bisvuole inoltre permettere a SWITCH di bloccare al più presto la diffusione di software dannosi (malware) (cpv. 1 lett. a n. 2). Simili software vengono spesso utilizzati dai criminali per controllare i sistemi di ignari utenti. Anche il tal caso è decisiva la velocità di intervento: più tempo trascorre, maggiore è la probabilità che un numero crescente di sistemi venga infettato. I sistemi così infettati (i cosiddetti “botnet”) vengono spesso utilizzati a loro volta a scopi illeciti, ad esempio per inviare mail di phishing.

Ai sensi dell’articolo 14f^bisSWITCH non ha tuttavia l’obbligo di verificare la legittimità dell’attribuzione o dell’utilizzo di un nome di dominio (conformemente all’attuale normativa; cfr. in particolare art. 14f cpv. 1 e 2 ORAT), per il semplice fatto che l’attribuzione e la gestione dei nomi di dominio costituiscono un’operazione di gestione automatizzata che come tale sfugge alla facoltà di SWITCH. Non spetta, inoltre, a SWITCH decidere sulla legittimità o meno di un’azione, ad esempio dal punto di vista penale o della normativa sui diritti d’autore. Esigendo che la richiesta provenga da uno degli enti attivi nel