È lecito accedere al dark web?

“È lecito accedere al dark web?” è una delle domande più frequenti su questo tema, e la risposta breve è netta: sì, accedere al dark web non è di per sé reato. Non lo è scaricare Tor, non lo è navigare su un sito .onion. A rendere illecita l’esperienza non è lo strumento, ma l’uso che se ne fa — esattamente come possedere un’automobile è lecito, guidarla contromano no.

La confusione nasce dal fatto che il dark web è associato nell’immaginario collettivo alle attività criminali.
Ma dal punto di vista dell’ordinamento italiano la distinzione è chiara e vale la pena conoscerla, soprattutto per un’azienda che deve capire dove passa il confine. In questo articolo vediamo cosa dice davvero la legge italiana: quando l’accesso resta legale, quali condotte configurano reato e quali articoli del codice penale entrano in gioco. Per capire invece cos’è il dark web e come si distingue dal deep web, rimandiamo alla guida su che cos’è il dark web.

Questo articolo ha finalità divulgative e non costituisce consulenza legale: per casi concreti è sempre opportuno rivolgersi a un avvocato.

1. Navigare sul dark web è legale
2. Quando l’accesso diventa reato
3. Gli articoli del codice penale coinvolti
4. Il punto di vista aziendale

Navigare sul dark web è legale

Nell’ordinamento italiano non esiste alcuna norma che vieti l’accesso al dark web in quanto tale. Utilizzare browser come Tor per navigare in anonimato è perfettamente lecito, e anzi risponde a esigenze legittime: proteggere la propria privacy, aggirare la censura, comunicare in sicurezza. Giornalisti, ricercatori, forze dell’ordine e professionisti della sicurezza informatica vi accedono regolarmente per motivi del tutto legali.

Il principio giuridico è lo stesso che regola qualsiasi strumento a doppio uso: la responsabilità penale non nasce dal mezzo, ma dalla condotta. Chi naviga sul dark web per informarsi o per proteggere il proprio anonimato non commette alcun illecito. Il confine si supera nel momento in cui l’anonimato viene usato per compiere — o partecipare a — attività che la legge punisce.

Quando l’accesso diventa reato

Le attività che sul dark web configurano reato sono le stesse che sarebbero illecite ovunque, con un’aggravante pratica: l’anonimato le rende più facili da compiere e più difficili da perseguire. Rientrano in questa categoria l’acquisto di sostanze stupefacenti, di armi o di prodotti contraffatti, il download di materiale pedopornografico, la partecipazione ad attività legate al terrorismo, e la compravendita di dati rubati — dalle carte di credito alle credenziali esfiltrate.

C’è un punto che molti ignorano: acquistare dati o accessi rubati non è un reato “minore” perché commesso dietro uno schermo. Chi compra un database di credenziali sottratte, o le usa per entrare in un account altrui, commette illeciti pienamente perseguibili — e spesso più d’uno contemporaneamente. Anche il semplice acquisto di beni provenienti da un delitto (la ricettazione) è punito, indipendentemente dal fatto che la transazione avvenga su un mercato clandestino .onion o in una strada. Attività come il phishing o la diffusione di malware, che spesso trovano nel dark web il loro mercato, sono a loro volta pienamente illecite.

Gli articoli del codice penale coinvolti

Diverse fattispecie del codice penale italiano possono entrare in gioco a seconda della condotta. Le principali:

Un chiarimento importante sull’art. 615-ter, perché è l’articolo più frainteso: il reato di accesso abusivo si configura quando ci si introduce in un sistema protetto da misure di sicurezza contro la volontà di chi ha diritto di escludere altri. La giurisprudenza ha chiarito che il reato sussiste anche quando si conosce la password, se l’accesso avviene per finalità non autorizzate. Usare credenziali comprate sul dark web per entrare nell’account o nel gestionale di qualcun altro ricade esattamente qui — e comprare quelle credenziali è già di per sé un illecito.

Il punto di vista aziendale

Per un’azienda la questione della liceità si ribalta: il rischio concreto non è che qualcuno in azienda “navighi dove non dovrebbe”, ma che i dati aziendali finiscano sul dark web dopo una violazione, e che qualcuno li acquisti per usarli contro l’organizzazione. In quello scenario l’azienda è la parte offesa, non l’autore del reato — ma resta comunque soggetta agli obblighi di legge conseguenti alla violazione: la notifica al Garante entro 72 ore prevista dal GDPR e, per i soggetti nel perimetro, quella prevista dalla direttiva NIS 2.

C’è poi una tentazione da sfatare: dopo un attacco, alcune aziende valutano di “ricomprare” i propri dati o di rivolgersi a chi promette di recuperarli dal dark web. È una strada che, oltre a finanziare i criminali, può configurare essa stessa responsabilità. La risposta corretta a una violazione non passa dal mercato clandestino, ma dalle procedure previste: denuncia alle autorità competenti — in Italia la Polizia Postale — notifica agli interessati e messa in sicurezza dei sistemi. E, a monte, dalla prevenzione: gran parte dei dati che finiscono in vendita esce da falle note e da errori umani evitabili, come approfondito nell’analisi su quanto costa un attacco informatico a una PMI.

In conclusione

Accedere al dark web è legale; ciò che vi si fa può non esserlo. La navigazione anonima, la ricerca, la tutela della privacy restano attività lecite; l’acquisto di beni o dati illegali, l’uso di credenziali rubate e la partecipazione a traffici criminali sono reati puniti dal codice penale, spesso più severamente proprio per il contesto in cui avvengono. Per un’azienda, il tema non è tanto la liceità dell’accesso quanto la protezione dei propri dati — perché è lì, tra i mercati clandestini del dark web, che le informazioni sottratte trovano il loro prezzo.