Una corte d’appello tedesca ha stabilito che un documento alterato digitalmente – fotografato e inviato via e-mail – non costituisce giuridicamente un falso, poiché è chiaramente riconoscibile come una semplice foto di un documento, non come un originale. Non presenta alcuna riga per la firma. Non comporta alcun effetto deterrente dal punto di vista penale. Se il vostro programma di conformità continua a considerare "sembra ufficiale" come prova di autenticità, questa sentenza dovrebbe preoccuparvi più del vostro prossimo avviso di vulnerabilità "zero-day". Di seguito: cosa ha stabilito il tribunale bavarese, perché la stessa lacuna va ben oltre i confini della Germania e in quali ambiti i vostri controlli di verifica dei documenti si basano silenziosamente su un fondamento giuridico che ormai non è più valido. La soluzione non è di natura giuridica, ma architettonica.
Cosa ha stabilito la Corte
Il caso in sé era banale: una donna aveva modificato una vera lettera di uno studio legale, l’aveva stampata, ne aveva fotografato il risultato e aveva inviato l’immagine tramite WhatsApp ed e-mail. La Corte d’appello regionale bavarese (BayObLG) l’ha assolto da entrambe le accuse. Innanzitutto, ai sensi della legge tedesca, un "documento" richiede una dichiarazione concretizzata che identifichi un emittente e ha valore probatorio - la firma è fondamentale in questo contesto. In assenza di essa, il tribunale ha ritenuto che si trattasse solo di una bozza non vincolante con nessun valore probatorio. In secondo luogo, non era applicabile nemmeno il reato di falsificazione di dati probatori: un file immagine che è chiaramente solo la foto di un documento funge da prova secondaria, non è un vettore con dichiarazione originale, quindi non rientra nemmeno in quella legge.
Non si tratta solo di un problema tedesco
Il volume e la sofisticazione delle frodi sono già in aumento, indipendentemente dal ragionamento di un singolo tribunale. Indagine globale di PwC su crimini economici e frodi è emerso che poco più della metà delle organizzazioni intervistate aveva subito casi di frode nei due anni precedenti: si tratta del tasso più elevato registrato nei vent'anni di storia dell'indagine, con le frodi basate su piattaforme che si stanno affermando come una categoria in rapida crescita.
Se a questo si aggiunge l’IA generativa, il quadro peggiora ulteriormente. Previsioni di Gartner che entro il 2026 circa 30% di aziende smetteranno di affidarsi esclusivamente a strumenti autonomi di verifica dell'identità, proprio perché i deepfake generati dall'intelligenza artificiale riescono ormai a eludere i controlli biometrici facciali – e gli attacchi di tipo "injection" contro questi sistemi sono aumentati di 200% in un solo anno.
Anche le agenzie federali statunitensi sono giunte alla stessa conclusione dal punto di vista della difesa. Un parere congiunto del NSA, FBI e CISA illustra come le minacce legate ai media sintetici si siano diffuse in tutti i settori e raccomanda misure concrete di mitigazione alle organizzazioni che non possono più dare per scontato che i media – visivi o documentari – siano ciò che sembrano.
Riassumendo: una lacuna giuridica in una giurisdizione, unita a una corsa agli armamenti globale nel settore delle attrezzature di produzione, equivale a un punto cieco in materia di conformità che non tiene conto del luogo in cui ha sede la vostra entità.
Come potrebbe presentarsi la soluzione
Il meccanismo alla base è ben consolidato nel campo della crittografia e viene ora applicato sempre più spesso alla verifica dell'integrità dei documenti: l'uso combinato di funzioni di hashing e marcatura temporale.
- Acquisisci l'impronta digitale del file, non del contenuto. Un hash crittografico unidirezionale riduce qualsiasi file – contratto, documento, scansione, set di dati – a un’impronta digitale univoca. L’impronta digitale non rivela nulla sul contenuto del file; cambia solo se il file stesso cambia, anche di un solo byte.
- Collegare l’impronta digitalmente in modo esterno. L'annotazione temporale di tale impronta digitale su una blockchain pubblica (Bitcoin o Ethereum sono le scelte più comuni) crea una registrazione che nessuna singola organizzazione – compresa quella che l'ha creata – controlla o può modificare retroattivamente. Il contenuto del file non viene mai caricato né reso pubblico; viene registrata solo l'impronta digitale, il che garantisce che l'approccio sia a conoscenza zero per definizione.
- Da verificare in modo indipendente, in un secondo momento, da chiunque. In qualsiasi momento successivo, rielaborando il file e confrontandolo con l'impronta digitale archiviata, è possibile stabilire, con certezza matematica, se il file corrisponde a quello che era stato sigillato. L'assenza di corrispondenza indica che il file è rimasto invariato. Un'eventuale discrepanza è immediatamente rilevabile da chiunque esegua il controllo, non solo dalla parte che ha effettuato la sigillatura.
Nulla di tutto ciò impedisce a qualcuno di modificare un file: solo la revoca dell’accesso può farlo. Ciò che garantisce è che la modifica non possa passare inosservata e non possa essere negata in modo plausibile. Questo è il punto che il ragionamento del tribunale tedesco non è riuscito a cogliere: un documento fotografato e non firmato non ha alcun valore probatorio intrinseco, mentre un file con un timestamp ancorato esternamente e verificabile in modo indipendente fornisce esattamente il tipo di prova che il tribunale ha ritenuto mancante – indipendentemente da ciò che richieda la giurisdizione.
A sostegno della difendibilità delle prove digitali
Si tratta di un divario tra controllo e maturità, non di uno scenario ipotetico - Ora disponete di una sentenza giudiziaria specifica, di un’indagine sulle frodi condotta da una delle “Big Four” e di un avviso congiunto del governo statunitense, tutti elementi che puntano nella stessa direzione. Presentate la questione in questi termini al vostro consiglio di amministrazione o al comitato di revisione contabile: ciò che viene richiesto non è una nuova voce di bilancio di grande entità, bensì un aggiornamento delle politiche – basato su livelli di affidabilità dei documenti e verifiche fuori banda – che colmi una lacuna che i vostri controlli esistenti non sono mai stati progettati per coprire. Gli investimenti in strumenti tecnologici potranno seguire una volta che la politica sarà in vigore e l’esposizione sarà stata documentata.
.
Vuoi vedere come funziona nella pratica una verifica indipendente dell'integrità?
Provalo gratuitamente, senza alcun impegno:
Verificatore di verità per i creatori di PI: https://truth-verifier.com/landing
Verificatore di verità per giornalisti: https://truthverifier.news/landing
Contattaci per discutere dell'implementazione aziendale di Truth Enforcer: https://www.connecting-software.com/truth-enforcer-sign-up/
Da Francisco Rodrigues, Responsabile di prodotto
"Scrivo di come le integrazioni software possano adattarsi agli ambienti aziendali e rispondere alle esigenze specifiche del settore. Voglio mostrare alle aziende la strada per snellire i processi, eliminare i colli di bottiglia e garantire la conformità, mettendo a disposizione dei team e dei dirigenti C-suite gli strumenti giusti".