Capire quando assumere un hacker è legale

La domanda giusta non riguarda i prezzi o i nomi dei venditori, ma una sola cosa: chi tiene il controllo legale del sistema su cui vuoi intervenire. In Italia la risposta si riduce a tre condizioni concrete: consenso del titolare, perimetro scritto, metodi difendibili. Le tre condizioni insieme rendono un incarico legale e dimostrabile. Se anche una sola manca, quello che viene venduto come “test” può configurarsi come accesso abusivo, con conseguenze penali che non colpiscono soltanto chi esegue il lavoro: toccano anche chi lo paga e chi lo commissiona.

Questa guida ti aiuta a capire quando assumere un hacker è legale: dove passa esattamente il confine, quali casi reali restano nel perimetro legittimo, quali richieste vanno fermate e come verificare un fornitore in una dozzina di domande. Se vuoi prima una visione d’insieme del percorso, la trovi nella guida all’assunzione sicura di un hacker etico.

Un incarico rispetta la legge quando esistono: autorizzazione scritta del titolare, ambito definito, regole sui dati, responsabilità firmate, riservatezza e risultati documentati in un report verificabile.

Rifiutiamo comunque le richieste prive di autorizzazione e titolarità: niente accessi ad account di terzi, niente spiare dispositivi privati, niente aggirare password senza autorizzazione esplicita.

Dove passa la linea: incarico autorizzato o accesso abusivo

Il confine non dipende dal titolo, dalle skill o dalla fama della persona che contatti: dipende dal consenso di chi è titolare del sistema. In termini orientativi, senza sostituirti a una verifica legale, il Codice penale italiano offre una cornice precisa:

L’art. 615-ter c.p. punisce l’accesso abusivo a un sistema informatico altrui. La pena si inasprisce quando il sistema è protetto da misure di sicurezza o ha rilevanza pubblica: nella pratica un account aziendale o un server hanno quasi sempre autenticazione, log e controlli, e questo sposta l’ipotesi verso la forma più grave.
L’art. 615-quater c.p. copre la detenzione e la diffusione abusiva di codici, password o documenti che consentono l’accesso a un sistema o a un’area informatica di altri.
Gli artt. 616 e 617 c.p. proteggono corrispondenza e comunicazioni: leggere la posta, le chat o le conversazioni di un altro soggetto senza l'autorizzazione del titolare resta reato anche quando un terzo viene pagato per farlo.
Aggravanti ulteriori si applicano quando il bersaglio è un sistema pubblico o quando l’abuso ha conseguenze su dati amministrativi o essenziali, quindi il margine d’errore scende ancora.

Questa sezione ha un solo scopo, dare un orientamento: non sostituisce il parere di un legale e non descrive casi giudiziari specifici. Due conseguenze valgono comunque in tutti gli scenari. La prima: un mandato scritto non è un lasciapassare. Il consenso esiste solo se esiste il titolare che lo firma, e vive dentro l’ambito autorizzato; se il test esce oltre quel perimetro, la base legale viene a mancare e il lavoro torna a somigliare a un accesso non autorizzato. La seconda: né il prezzo né l’anonimato cambiano la natura dell’operazione. La cifratura della transazione e i contatti offerti solo su app anonime non trasformano un’attività non autorizzata in una legittima.

Quando serve aiuto professionale

Serve un professionista quando l’incidente resta oscuro, le prove rischiano di sparire o l’azienda ha bisogno di un report verificabile da mostrare a banche, assicurazioni, clienti o forze dell’ordine. Il punto non cambia: anche in emergenza l’attività va impostata come analisi autorizzata, non come attacco nascosto. Le prime ore sono decisive per la parte difensiva, ma non vanno improvvisate: dopo una compromissione sospetta l’ordine di intervento è bloccare prima l’accesso esterno, poi copiare log e macchine sospette e solo infine riparare o ripristinare. Chi rimuove tutto in fretta spesso cancella proprio la traccia che servirebbe a capire come è avvenuto l’incidente.

Casi tipici in cui assumere resta legale

Penetration test su sistemi tuoi o della tua azienda. Il test è legale quando il titolare emette un’autorizzazione scritta che nomina i sistemi, il periodo e i metodi, firmata da chi ha il potere di decisione: titolare, CEO o CISO. La firma non è un formalismo: è l’unica cosa che dimostra il consenso se il lavoro viene messo in discussione.
Analisi forense post-incidente su sistemi tuoi. Copia forense dei log, ripristino da backup, ricostruzione della cronologia dell’intrusione: è legale perché è il titolare a chiederla, e produce materiale utile anche per una denuncia.
Recupero del tuo account tramite i canali ufficiali del provider. È la piattaforma, Google, Meta, Microsoft o Apple, a stabilire se un account è tuo. Un professionista può aiutarti a preparare la documentazione, proprietà del dominio, ricevute, segnali di compromissione, e a proteggere l’account con un secondo fattore; il processo resta però sul supporto ufficiale, non sui servizi che offrono di aggirarlo.
Bug bounty nel perimetro di un programma autorizzato. Il programma dichiara cosa puoi testare e con quali limiti; testare fuori da quel perimetro non è bug bounty, è attacco.
Consulenza difensiva generale. Hardening, formazione del personale, policy di sicurezza, esercitazioni simulate con il consenso di tutti i soggetti coinvolti: è il lavoro difensivo per eccellenza e non tocca i casi problematici elencati sotto.

Richieste da fermare: quando l’assunzione è illegale o una truffa

Accedere a conti o dispositivi di terzi, siano di un partner, un ex o un componente della famiglia: senza autorizzazione scritta e attuale del titolare, nessuna eccezione.
Sorvegliare un partner, un dipendente o un concorrente: spiare chat, posizioni o attività non diventa legale con un pagamento.
Recuperare fondi in criptovalute persi in una truffa: la transazione è irreversibile per un dato tecnico, non per mancanza di abilità; chi promette il recupero chiede un secondo pagamento, e di solito lascia anche il primo.
Agire su contenuti altrui: eliminare recensioni negative, alterare una valutazione scolastica, modificare un registro o una graduatoria.
Consegnare credenziali altrui su comando: anche presentata come “prova” o “verifica”, la consegna di password di terzi non è un servizio legale.

In tutti questi casi il pagamento non cambia la natura dell’operazione: chi commissiona e chi esegue si espongono entrambi. E la probabilità di perdere soldi non cala: il venditore anonimo accetta canali di pagamento difficilmente reversibili, non restituisce ciò che promette e poi scompare.

Esempi concreti: stessa richiesta, esiti opposti

Esempio 1 — testare il sito della propria azienda. Con l’autorizzazione del titolare che nomina host, finestra temporale e metodi, il test resta legale, compresa l’eventuale verifica di resa sotto carico dichiarata in quella finestra. Se invece un dipendente chiama uno sconosciuto su una chat e gli dà accesso senza che il titolare sappia nulla, è l’azienda stessa a diventare vittima di un incidente interno.

Esempio 2 — l’account aziendale di un ex dipendente resta attivo. Ok: chi ha i poteri di amministrazione resetta le credenziali dalla console interna e disattiva la casella. No: far entrare un consulente esterno in ciò che la persona ha salvato sul proprio account personale, o chiedere a un servizio di “riprendere” l’account di un’altra persona: entrambe le vie sono illegali, e la seconda è una delle truffe più ricorrenti del settore.

Esempio 3 — sospetto un attacco in corso sul mio server. Ok: copia forense dei log, blocco immediato dell’IP, evento denunciato alle forze dell’ordine, incident response autorizzata internamente. No: “hack back”, cioè penetrare a tua volta il sistema dell’attaccante. L’accesso abusivo resta reato anche contro chi ti ha attaccato, e in molti casi quella macchina appartiene a un soggetto innocente usato solo come trampolino.

Esempio 4 — ho perso fondi in una truffa in criptovalute. Ok: denuncia, documentazione accurata per la banca o per l’ufficio legale, tracciamento difensivo delle transazioni con strumenti legittimi, segnalazione alla piattaforma coinvolta e all’autorità di vigilanza. No: servizi che promettono di reintegrare i fondi, quando l’irreversibilità della blockchain rende quell’obiettivo tecnicamente inesistente.

Checklist rapida: incarico legale o da fermare

Cinque domande sul tuo caso, cinque sul fornitore.

Sul tuo caso:

Posso dimostrare chi è titolare del sistema?
Ho l’autorizzazione scritta di quel titolare, firmata da chi ha i poteri?
Quello che chiedo sta dentro l’ambito autorizzato?
Il risultato che aspetto, un report, prove, un ripristino documentato, è qualcosa che posso esibire senza problemi?
Se il fornitore commettesse un’azione illegale, potrei risponderne a mia volta?

Sul fornitore:

Firma un contratto con perimetro, riservatezza e responsabilità definite?
Prepara il documento di autorizzazione prima di iniziare, invece di mettere fretta?
Accetta canali di pagamento tracciabili e fasi distinte, per esempio anticipo e saldo alla consegna del report?
Spiega limiti e rischi invece di promettere risultati garantiti?
Chiede solo credenziali di sistemi tuoi — mai di terzi — su un canale sicuro?

Se due o più risposte sono negative o “non lo so”, non sei davanti a un fornitore ma a un problema diverso: fermati, non pagare, conserva la conversazione e ricalibra la richiesta. Non è un’offesa al professionista verificare prima di firmare: chi si irrita mentre lo controlli già ti sta dicendo qualcosa.

Come impostare correttamente l’incarico

Cosa deve contenere l’autorizzazione scritta

Basta una pagina, ma deve essere precisa:

chi autorizza, con nome, ruolo e azienda, e chi esegue, con i contatti di entrambi
elenco puntuale degli asset: domini, indirizzi IP, applicazioni, caselle postali
finestra temporale con inizio, fine e regole separate per i test intensivi
metodi consentiti e metodi vietati
gestione dei dati raccolti: chi vi ha accesso, dove si conservano, quando si eliminano
contatti per escalation, blocco o sospensione immediata
cosa conta come incarico completato: report firmato, conferma di ripristino, restituzione dei materiali

Regole d’ingaggio che mantengono l’incarico nel perimetro legale

Ogni sistema testato deve avere punti di ripristino: un backup prima del test elimina metà del rischio operativo.
Non esfiltrare dati reali: usa dati sintetici o campioni mascherati; i dati veri non servono a un difensore e il loro prelievo è un problema a sé.
Non estendere mai il perimetro di fatto: se durante il test emerge un problema su un sistema non autorizzato, si segnala e si attende l’ampliamento del mandato.
Definisci da subito come si ferma l’incarico, chi può sospenderlo e come si paga in caso di sospensione anticipata.

Cosa verifica prima Cyberlord

Cyberlord chiede tre cose prima di tutto: chi controlla davvero il sistema, chi può firmare l’autorizzazione e quale risultato serve davvero. In base alle risposte scegliamo poi l’incarico: recupero, indagine forense su sistemi propri, penetration test autorizzato o consulenza difensiva. Concretamente, al primo contatto ti chiediamo:

autorizzazione scritta e perimetro definito, firmata dal titolare o da un delegato con i poteri
comunicazione sicura e pagamento tracciabile, per fasi e non in un solo blocco
conservazione delle prove senza alterarle, se serve un iter legale
rapporto tecnico con priorità e azioni immediate e successive
nessun obiettivo illegale: se la richiesta sta fuori dal legale lo diciamo prima, non dopo il saldo

Se stai ancora scegliendo a chi rivolgerti, la guida su dove assumere hacker etici nel 2025 e il confronto sulle piattaforme affidabili per hacker etici aiutano a distinguere canali legittimi da contatti anonimi.

Segnali d’allarme nelle offerte false

Diffida, in qualunque canale, di queste varianti:

nessun contratto e nessuna disponibilità a definire perimetro e regole in un documento
pagamento interamente in criptovalute, carte prepagate o strumenti difficilmente reversibili
sollecitazione a decidere in poche ore, prima che “la finestra chiuda”
promessa di accedere a dati di terzi, account, chat o social di qualcun altro
risultati garantiti: ritorno dei fondi, valutazione a cinque stelle, primo posto garantito nelle ricerche

Se noti più di un segnale, non pagare, conserva la conversazione e valuta una denuncia. Un servizio legale non ti chiede fiducia cieca.

Quali risultati aspettarsi

Dovresti ricevere sintesi chiara in linguaggio umano, dettagli tecnici riproducibili, prove raccolte durante le attività, priorità e azioni immediate e successive. Un incarico legittimo si chiude con materiale che puoi mostrare, riusare o esibire a chi ne ha diritto; un servizio truffaldino si chiude con una chat silenziosa e una promessa mancata. È questo che distingue un lavoro serio da una promessa vuota.

Cyberlord

Se devi agire subito, invia fatti, date, schermate e il risultato desiderato. Ti diciamo per primo cosa resta legale e tecnicamente sensato, poi come procedere concretamente.

Cyberlord può aiutare subito?
Sì, prima con un’analisi veloce di legalità, rischio e prove esistenti.

Devo inviare password?
No. Non inviare password prima di definire ambito e canale sicuro; a volte non servono affatto, perché molti controlli si configurano direttamente con il titolare.