Etica e legge

1. Il principio

Le tecniche che impari su EVIL — SQL injection, scansioni, OSINT, analisi di malware — sono le stesse che usano sia chi attacca sia chi difende. Ciò che cambia non è la tecnica, ma lo scopo e il permesso. Studiare come si entra in un sistema serve a chiuderne le porte: è il mestiere di chi fa sicurezza.

L'obiettivo di EVIL è formare persone capaci di raggiungere il massimo livello tecnico insieme al massimo senso di responsabilità: programmatori, professionisti della sicurezza, ethical hacker, security researcher, software engineer. Competenza e legalità vanno insieme, sempre.

2. Codice di condotta

Chi usa EVIL si impegna a:

usare gli strumenti di analisi solo su sistemi propri o per cui ha un'autorizzazione scritta;
non danneggiare, interrompere o sovraccaricare sistemi e servizi di terzi;
non raccogliere né diffondere dati personali di altre persone senza una base giuridica (niente doxxing);
non usare quanto imparato per frode, estorsione, stalking, diffamazione o qualsiasi altro reato;
trattare i dati simulati o di esempio come tali, senza spacciarli per prove reali;
segnalare in modo responsabile le vulnerabilità che scopre, senza sfruttarle.

Alla registrazione accetti questo codice e l'informativa privacy. Violarlo comporta la sospensione dell'account e, a seconda dei casi, conseguenze legali di cui rispondi personalmente.

3. Autorizzazione scritta

Prima di analizzare un sistema che non è tuo serve un permesso scritto di chi ne ha titolo, con regole d'ingaggio chiare. Un accordo a voce non basta. Il documento dovrebbe indicare almeno:

perimetro: quali domini, indirizzi IP e applicazioni sono inclusi, e cosa è escluso;
tempi: le finestre in cui puoi operare e i contatti di emergenza;
tecniche: cosa è permesso e cosa no (per esempio denial of service o ingegneria sociale sui dipendenti);
dati: come trattare eventuali dati sensibili trovati, per quanto conservarli e come distruggerli.

Regola pratica: se non puoi mostrare un documento di autorizzazione, non eseguire il test. EVIL insegna il metodo; la responsabilità dell'esecuzione su sistemi reali resta tua e del committente.

4. La legge italiana

In Italia l'accesso e il danneggiamento di sistemi informatici senza autorizzazione sono reati. I principali articoli del Codice penale in materia sono:

Articolo	In breve
615-ter c.p.	Accesso abusivo a un sistema informatico o telematico, o permanenza contro la volontà di chi ha il diritto di escludere.
615-quater c.p.	Detenzione, diffusione e installazione abusiva di codici di accesso (password, credenziali) a sistemi protetti.
617-quater c.p.	Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche.
635-bis e seguenti c.p.	Danneggiamento di informazioni, dati, programmi e di sistemi informatici, pubblici o privati.
640-ter c.p.	Frode informatica: alterare un sistema o dati per procurarsi un ingiusto profitto con danno altrui.

A livello europeo e nazionale contano anche il GDPR (Regolamento UE 2016/679) per i dati personali e la direttiva NIS2, recepita in Italia nel 2024, per la sicurezza delle reti e dei sistemi informativi di molte organizzazioni.

Questa pagina è una sintesi didattica e non è una consulenza legale. I riferimenti normativi possono cambiare: per un caso concreto verifica il testo vigente e, se serve, consulta un professionista.

Anche le informazioni pubbliche su una persona sono dati personali. Raccoglierle e incrociarle (per esempio con l'OSINT) richiede una base giuridica (art. 6 GDPR) e, se riusi quei dati fuori dallo studio personale, l'obbligo di informare l'interessato (art. 14). Il doxxing — raccogliere e diffondere dati di qualcuno per esporlo, intimidirlo o molestarlo — è vietato su EVIL e può costituire reato.

Per questo i moduli OSINT di EVIL sono orientati all'autovalutazione della propria esposizione e alle figure pubbliche, non alla profilazione di privati cittadini.

6. Divulgazione responsabile

Se durante uno studio autorizzato scopri una vulnerabilità, la cosa giusta è segnalarla a chi gestisce il sistema e dargli il tempo di correggerla prima di renderla pubblica. In pratica:

cerca un canale ufficiale: un file /.well-known/security.txt, una pagina "security" o un programma di bug bounty;
descrivi il problema in modo chiaro e riproducibile, senza sfruttarlo oltre il necessario per dimostrarlo;
concorda tempi ragionevoli per la correzione e non divulgare i dettagli finché non è risolto;
non chiedere denaro in cambio del silenzio: sarebbe estorsione.

In Italia il punto di riferimento nazionale per gli incidenti è il CSIRT Italia (Agenzia per la Cybersicurezza Nazionale). Hai trovato un problema su EVIL stesso? Scrivici dalla pagina Aiuto.

7. Casi grigi

Alcune situazioni sembrano innocue ma non lo sono:

una scansione "solo passiva" di un sito altrui può comunque violarne i termini di servizio;
leggere dati pubblici su una persona è lecito, raccoglierli e profilarli in modo sistematico spesso no;
provare "giusto una volta" una credenziale trovata è già accesso abusivo;
un sistema "sembra abbandonato" non significa che sia senza proprietario.

Nel dubbio, fermati e chiedi. Esercitati sui tuoi sistemi, sul Lab virtuale di EVIL o su ambienti pensati apposta per la pratica. L'incertezza non è un'autorizzazione.