Singapore anticipa le truffe online, Hong Kong usa la privacy per arrestare i doxxer

🛡️ Executive Summary

• Singapore amplia l’Online Criminal Harms Act con nuovi obblighi per social, messaggistica ed e-commerce per individuare e bloccare le truffe prima del danno.
• Le piattaforme rischiano sanzioni fino a 10 milioni di dollari di Singapore e dovranno rafforzare verifica, avvisi, filtri e sistemi anti-impersonificazione.
• Hong Kong arresta un 29enne per presunto doxxing di un rivale: la normativa privacy permette indagini penali, arresti e pene fino a cinque anni.

Singapore e Hong Kong stanno spostando la risposta ai reati digitali dalla semplice repressione successiva al danno verso strumenti sempre più preventivi e coercitivi. Singapore ha introdotto nuovi codici di condotta e prepara ulteriori modifiche legislative per obbligare piattaforme social, servizi di messaggistica ed e-commerce a individuare e interrompere truffe e attività cyber malevole prima che raggiungano le vittime. Hong Kong utilizza invece la propria normativa sulla protezione dei dati personali come strumento penale contro il doxxing, con il Privacy Commissioner dotato di poteri di indagine, arresto e rimozione dei contenuti. Due modelli differenti che mostrano come in Asia la sicurezza online stia diventando sempre più una responsabilità condivisa tra piattaforme, autorità e intermediari digitali.

Singapore obbliga le piattaforme a intervenire prima della truffa

La svolta più significativa arriva da Singapore, dove il Singapore Police Force ha pubblicato nuovi Codes of Practice nell’ambito dell’Online Criminal Harms Act destinati a servizi di messaggistica, social network ed e-commerce. La differenza rispetto a un semplice obbligo di rimozione successiva è sostanziale: le piattaforme designate devono predisporre sistemi, processi e misure capaci di interrompere proattivamente scam e attività cyber malevole che colpiscono gli utenti di Singapore. Le nuove regole sostituiscono o rafforzano i codici introdotti nel 2024 e si applicano ai servizi considerati più esposti al rischio di frode. Il governo cita dati secondo cui nel 2025 circa il 30% dei casi di scam era collegato a piattaforme social come Facebook, Instagram e TikTok, mentre Facebook da solo rappresentava circa il 18% del totale. Sul fronte della messaggistica, WhatsApp era coinvolto in circa il 18% delle truffe basate sull’impersonificazione di funzionari pubblici.

Messaggi sconosciuti, gruppi e impersonificazione diventano responsabilità della piattaforma

Il nuovo Messaging Code interviene direttamente sulle modalità attraverso cui le truffe raggiungono gli utenti. I servizi designati dovranno ottenere il consenso dell’utente prima di aggiungerlo a gruppi o canali creati da contatti sconosciuti, mostrare indicatori di rischio contestuali quando arriva un messaggio o una chiamata sospetta e offrire opzioni per silenziare, filtrare o bloccare comunicazioni provenienti da numeri non presenti nella rubrica. Un account sconosciuto potrà, per esempio, essere accompagnato da informazioni come data di creazione e Paese di origine, permettendo all’utente di valutare meglio il rischio prima di rispondere. Particolare attenzione viene riservata alle truffe che impersonano il governo: le piattaforme dovranno impedire l’utilizzo fraudolento di nomi e immagini riconducibili alle istituzioni di Singapore. Il governo ha già indicato una scadenza anticipata al 30 settembre 2026 per queste misure, mentre la maggior parte degli altri obblighi entrerà pienamente in vigore entro il 31 gennaio 2027.

Leggi anche: WhatsApp introduce Scam Alert per individuare i messaggi fraudolenti direttamente sul dispositivo

Il nuovo disegno di legge amplia lo scambio di dati tra Polizia e operatori

Il modello preventivo non si ferma ai codici di condotta. Il Scams (Countermeasures) and Other Matters Bill presentato il 4 agosto 2026 modifica contemporaneamente il Protection from Scams Act, l’Online Criminal Harms Act e altre norme per aumentare la capacità di rilevare, interrompere e scoraggiare le frodi. Uno dei punti centrali riguarda lo scambio di informazioni tra Polizia e fornitori di servizi: truffatori e money mule utilizzano spesso account appartenenti a banche, piattaforme e operatori differenti, lasciando indicatori frammentati che singolarmente non bastano a identificare l’operazione. La nuova disciplina vuole permettere una correlazione più rapida di questi segnali, mantenendo garanzie specifiche sul trattamento delle informazioni. Viene inoltre rafforzato il Facility Restriction Framework, che permette di limitare la disponibilità di servizi a soggetti identificati come parte di reti fraudolente, e vengono introdotti nuovi reati relativi all’abuso di account online.

Le piattaforme possono rischiare fino a 10 milioni di dollari di Singapore

L’enforcement diventa altrettanto incisivo. In caso di mancato rispetto dei Codes of Practice, l’autorità può applicare sanzioni finanziarie fino a 10 milioni di dollari di Singapore oppure imporre un Rectification Notice o un Compliance Order. Il mancato rispetto di questi ordini senza una giustificazione valida può diventare a sua volta reato, con ulteriori sanzioni fino a 300.000 dollari di Singapore per ogni giorno di violazione continuata dopo la condanna. Il modello sposta quindi una parte della responsabilità sulla progettazione stessa delle piattaforme: non basta più consentire all’utente di segnalare la truffa dopo averla ricevuta, perché il servizio deve dimostrare di avere adottato meccanismi preventivi proporzionati al rischio. Singapore ha già applicato questa logica anche alle deepfake utilizzate per impersonare funzionari pubblici, imponendo verifiche degli utenti e sistemi di riconoscimento facciale per identificare alcuni contenuti fraudolenti. L’obiettivo è ridurre la finestra temporale nella quale una campagna può operare prima che le vittime inizino a perdere denaro.

Hong Kong trasforma il doxxing in materia da indagine penale diretta

A poche ore di distanza, Hong Kong offre un esempio differente di legislazione digitale applicata in modo operativo. L’Office of the Privacy Commissioner for Personal Data ha arrestato un uomo cinese di 29 anni sospettato di avere pubblicato senza consenso i dati personali di un rivale incontrato durante un torneo di boxe nel 2025. Secondo le informazioni diffuse dal PCPD, il sospettato avrebbe pubblicato messaggi su due piattaforme social in marzo 2025 e agosto 2026, accompagnando i dati personali della vittima con commenti negativi. L’indagine viene condotta ai sensi della section 64(3A) del Personal Data (Privacy) Ordinance, che considera reato la divulgazione senza consenso quando esiste l’intenzione di provocare un danno o una condotta negligente rispetto alla possibilità che tale danno si verifichi. L’episodio mostra come a Hong Kong il tema della privacy non sia confinato a sanzioni amministrative contro aziende: in determinate condizioni, la diffusione abusiva dei dati personali entra direttamente nel diritto penale.

Il Privacy Commissioner può arrestare e far rimuovere i contenuti

Il regime anti-doxxing di Hong Kong è in vigore dall’8 ottobre 2021 e attribuisce al Privacy Commissioner poteri molto più ampi rispetto a quelli di molte autorità europee per la protezione dei dati. Il quadro ufficiale del PCPD sulle violazioni di doxxing prevede la possibilità di avviare indagini penali, chiedere documenti e informazioni, fermare e arrestare sospettati in determinate circostanze e ottenere mandati per perquisire locali o dispositivi elettronici. L’autorità può inoltre emettere cessation notice indirizzati anche a piattaforme straniere quando il contenuto riguarda una persona residente o presente a Hong Kong. Alla fine del 2025, il PCPD aveva avviato 519 indagini penali e arrestato 81 persone per sospette violazioni della normativa anti-doxxing. Il sistema prevede due livelli di reato: la violazione base può comportare una multa fino a 100.000 dollari di Hong Kong e due anni di carcere, mentre i casi in cui la divulgazione provoca effettivamente il danno previsto possono arrivare a 1 milione di dollari di Hong Kong e cinque anni di reclusione.

Prevenzione e repressione diventano due facce della stessa politica digitale

Singapore e Hong Kong partono da problemi differenti ma convergono su un principio simile: il danno online non viene più considerato soltanto un evento da gestire dopo che si è verificato. Singapore interviene sulla fase precedente, obbligando piattaforme e intermediari a riconoscere segnali di scam, bloccare account, filtrare contatti e collaborare con la Polizia. Hong Kong interviene invece sulla diffusione dei dati personali con strumenti che combinano privacy, rimozione dei contenuti e diritto penale. Entrambi i modelli attribuiscono alle piattaforme una responsabilità maggiore rispetto alla semplice neutralità tecnica. Il cambiamento è particolarmente rilevante in un contesto nel quale phishing, impersonificazione, social engineering e reti criminali distribuite permettono di passare rapidamente dalla raccolta di informazioni alla perdita finanziaria o al danno personale.

Continua con:

• OpenAI blocca una rete di truffe AI collegata agli scam compound della Cambogia
• Phishing istituzionale colpisce SPID, pagoPA e ARERA con procedure fraudolente complete

L’Asia anticipa un modello regolatorio che potrebbe diffondersi altrove

La vera novità non è quindi il singolo arresto o la singola misura anti-scam, ma l’estensione progressiva del perimetro della responsabilità digitale. Singapore sta rendendo misurabile l’efficacia con cui una piattaforma previene le frodi e collega il mancato rispetto degli obblighi a sanzioni economiche rilevanti; Hong Kong considera invece la diffusione malevola dei dati personali un comportamento sufficientemente grave da giustificare poteri di arresto affidati direttamente all’autorità privacy. Sono modelli difficilmente sovrapponibili alle normative europee o statunitensi, ma anticipano una tendenza più generale: piattaforme, operatori e intermediari vengono sempre meno trattati come semplici contenitori di attività illegali e sempre più come soggetti chiamati a prevenire concretamente il rischio prima che diventi danno.