Impossibilità di sporgere denuncia di accesso remoto illecito ai miei sistemi telematici e informatici

Abstract

Studio di Caso su Compromissione Persistente di Sistemi Informatici, Vettori di Malvertising e Barriere Procedurali nel Deposito di Notizie di Reato Autore: Luigi UsaiAffiliazione: Ricercatore IndipendenteORCID: https://orcid.org/0009-0003-3001-717XData: 6 settembre 2026Tipologia documento: Case Report / Forensic Technical WhitepaperLicenza di distribuzione: Creative Commons Attribution 4.0 International (CC BY 4.0)Classificazione accademica: K.6.5 (Security and Protection), K.4.1 (Public Policy Issues / Cybercrime) Abstract Il presente lavoro documenta e analizza uno studio di caso empirico su una presunta compromissione informatica continuativa (oltre 18 mesi), integrando i riscontri tecnici registrati fino al settembre 2026. Vengono esaminati due eventi sentinella: Un'interazione grafica anomala su dispositivo mobile a Quartucciu (CA); L'esposizione a una campagna di malvertising su piattaforma video (phishing finanziario a tema istituzionale con deepfake della Presidenza del Consiglio), formalmente notificata via PEC alle autorità nazionali di cybersecurity, seguita da interferenze dirette sull'ambiente desktop (movimento non comandato del puntatore e chiusura selettiva di file grafici durante processi di addestramento/esecuzione di modelli di Intelligenza Artificiale generativa). Sul piano peritale, si illustra la diagnosi differenziale tra interferenze di carico hardware/driver (stress da computazione AI/GPU) e canali di comando remoto (RAT/RMM). Sul piano procedurale, si documenta la paralisi burocratica derivante dal mancato accoglimento della notizia di reato da parte dei presidi di Polizia locali e della Guardia di Finanza, concordi nel demandare la segnalazione alla Polizia Postale di Cagliari, determinando rischi di deperimento probatorio ex ISO/IEC 27037. 1. Introduzione e Vettori di Compromissione Documentati La casistica analizzata evidenzia l'intersezione tra minacce telematiche comuni ad alta diffusione (campagne di ingegneria sociale) e anomalie operative a livello host. 1.1 Vettore A: Malvertising istituzionale e notifica CSIRT (Inizio Settembre 2026) Nei primi giorni di settembre 2026, durante la fruizione di contenuti multimediali (YouTube), l'autore ha riscontrato un'inserzione pubblicitaria fraudolenta finalizzata all'adescamento finanziario (promessa di rendite mensili fisse). Caratteristiche del payload visivo: Sito clone con livrea grafica ingannevole riproducente il portale del Governo Italiano e impiego di video sintetici (deepfake) raffiguranti il Presidente del Consiglio Giorgia Meloni. Azione intrapresa: Consapevole della natura fraudolenta della risorsa, l'autore ha preservato il link e inviato formale segnalazione via Posta Elettronica Certificata (PEC) agli organismi nazionali preposti alla sicurezza cibernetica (CSIRT Italia / Agenzia per la Cybersicurezza Nazionale - ACN). 1.2 Evento B: Interferenza desktop durante sessioni di elaborazione AI (Notte del 4-5 Settembre 2026 circa) Nella notte successiva alla consultazione e segnalazione del link, durante una sessione di sviluppo ed esecuzione di una pipeline di Intelligenza Artificiale per la pittura algoritmica autonoma: È stato riscontrato il movimento visibile e autonomo del puntatore del mouse a video. Si è verificata la chiusura forzata di finestre e viewer grafici contenenti le immagini di riferimento impiegate dal processo di generazione, accompagnata da spostamento di risorse sul file system. 2. Diagnosi Differenziale Tecnico-Forense Di fronte a movimenti visibili del puntatore e chiusure di finestre durante carichi computazionali elevati, la metodologia forense impone di esaminare parallelamente l'ipotesi sistemistica e quella intrusiva. Ramo 1: Ipotesi Hardware/OSSovraccarico VRAM/GPU da modelli AI; crash del gestore finestre (DWM/X11); interferenza ottica o elettrostatica del sensore del mouse. Ramo 2: Ipotesi RMM / RATDownload furtivo post-phishing; sessione remota attiva (AnyDesk, VNC, RAT); canale Command & Control attivo. 2.1 Analisi dell'interferenza da carico AI (Falsi Positivi) L'esecuzione locale di script di visione artificiale, diffusione grafica o deep learning comporta un'intensa contesa di risorse computazionali: GPU Memory Exhaustion: L'esaurimento della memoria video provoca crash silenti del Desktop Window Manager (dwm.exe in ambiente Windows o del compositore in Linux), che si manifestano con la chiusura repentina di finestre aperte e ripristino dell'interfaccia. Micro-movimenti del puntatore: Rumore ottico del sensore del mouse (polvere, superfici riflettenti) o micro-correnti sulla porta USB durante assorbimenti di picco dell'alimentatore (stress GPU) possono simulare movimenti autonomi del cursore. Metodo di verifica (Air-Gap Test): L'isolamento immediato della scheda di rete (disconnessione fisica ethernet/Wi-Fi). Se l'anomalia persiste a macchina disconnessa, la causa è interamente riconducibile a conflitti hardware/software locali. 2.2 Analisi del payload malevolo (Infezione da Malvertising) Se l'anomalia scompare a rete disconnessa, si configura l'ipotesi di un accesso remoto interattivo originato dal link malevolo: Drive-by Download / Browser Exploit: Il caricamento della pagina truffaldina potrebbe aver veicolato un dropper o sfruttato vulnerabilità zero-day del browser per installare una backdoor o un client RMM dual-use (es. ScreenConnect, UltraVNC mascherato). Attività di sabotaggio o esfiltrazione: L'interazione attiva con i file grafici indicherebbe un operatore umano connesso in telemetria o uno script automatizzato programmato per interferire con gli handle di file aperti. 3. Preservazione Probatoria secondo ISO/IEC 27037 A seguito dell'evento del 5-6 settembre 2026, i protocolli peritali impongono la raccolta delle seguenti evidenze a supporto della querela: Dump della cronologia di navigazione e cache: Estrazione forense del database SQLite del browser per isolare l'URL esatto della pagina di phishing e i file temporanei scaricati. Analisi delle connessioni di rete (Netstat Snapshot): Esecuzione di netstat -fano rediretto su file log per identificare socket TCP stabiliti verso indirizzi IP pubblici non appartenenti a CDN note. Event Viewer / Syslog: Tracciamento degli Event ID 4624 (Logon di tipo 3 o 10 - Remote Interactive) per verificare l'avvenuta autenticazione di sessioni RDP o terze parti nell'orario dell'incidente. 4. Cronistoria Procedurale e Mancata Ricezione della Denuncia Il quadro riassuntivo dei tentativi di notifica evidenzia una persistente difficoltà nell'attivazione degli organi territoriali, bilanciata dall'invio formale tramite PEC: Data / Periodo Destinatario / Organo Modalità Oggetto e Riscontro Procedurale Q3 2025 Presidi territoriali ordinari Di persona Rinvio per incompetenza funzionale dichiarata. 2025-2026 Polizia di Quartucciu (CA) Di persona Mancata verbalizzazione; invito verbale a rivolgersi alla Polizia Postale. 2025-2026 Guardia di Finanza (comandi di zona) Plurimi contatti telefonici Diniego di ricezione diretta; indicazione concorde di adire la Polizia Postale di Cagliari. 09/2026 CSIRT Italia / ACN Posta Elettronica Certificata (PEC) Notifica tecnica formale di pagina istituzionale contraffatta (Governo Italiano / Meloni). 06/09/2026 Procura della Repubblica di Cagliari Memoria scritta Predisposizione per deposito diretto con allegazione log forensi. 5. Conclusioni e Azioni Giudiziarie Formali L'integrazione tra la notifica PEC inviata al CSIRT nazionale e la documentazione del presunto attacco a livello host consente di superare l'ostacolo del mancato ascolto da parte dei presidi di polizia periferici: Deposito presso la Procura della Repubblica di Cagliari:La denuncia-querela per le fattispecie di cui agli artt. 615-ter (Accesso abusivo), 640-ter (Frode informatica) e 494 (Sostituzione di persona, per l'uso fraudolento delle insegne governative) deve essere depositata direttamente presso l'Ufficio Deposito Atti della Procura di Cagliari, allegando: Copia della ricevuta di consegna della PEC inviata al CSIRT/ACN; Copia forense conforme (ISO/IEC 27037) della memoria di massa e dei file di log della sessione notturna del 6 settembre 2026. Richiesta di sequestro preventivo e delega:Sollecitazione al Pubblico Ministero per la delega urgente delle indagini al Centro Operativo per la Sicurezza Cibernetica (Polizia Postale di Cagliari), per l'acquisizione dei log di instradamento e il sequestro preventivo delle infrastrutture di malvertising. 6. Riferimenti Bibliografici e Giuridici Codice di Procedura Penale, Artt. 333 (Denuncia da parte di privati), 347 (Obbligo di riferire la notizia del reato) e 357 (Documentazione dell'attività di P.G.). Codice Penale Italiano, Artt. 328 (Omissione di atti d'ufficio), 494 (Sostituzione di persona), 615-ter (Accesso abusivo a sistema informatico), 640-ter (Frode informatica). D.Lgs. 18 maggio 2018, n. 65 (Direttiva NIS) e D.Lgs. 4 settembre 2024, n. 138 (Recepimento Direttiva NIS 2) in materia di notifica di incidenti informatici ad ACN/CSIRT. ISO/IEC 27037:2012, Information technology — Guidelines for identification, collection, acquisition and preservation of digital evidence. NIST Special Publication 800-86, Guide to Integrating Forensic Techniques into Incident Response.