Phishing bancario: le vittime di hanno diritto al rimborso?

Phishing bancario, la guida: cos'è, quando è possibile richiedere un rimborso, le sentenze della giurisprudenza.

Un tempo le truffe che coinvolgevano i clienti delle banche erano legate soprattutto alla falsificazione degli assegni, che venivano incassati da terzi diversi dal beneficiario con la sostituzione del nome nel titolo.

Oggi, invece, sono sempre più frequenti le truffe di Phishing bancario. Di cosa si tratta? Quando le vittime di phishing hanno diritto al rimborso? Cerchiamo di rispondere a queste domande sul phishing bancario e sul diritto al risarcimento del cliente vittima della truffa.

Che cos’è il phishing?

Il phishing bancario consiste in una truffa eseguita con varie modalità dirette a far abboccare il cliente. Di solito avviene con l’invio di un sms ma può anche avvenire con l’invio di una mail o una telefonata.

Il caso più diffuso è quello della ricezione di un sms apparentemente inviato dalla propria banca con il quale si avvisa il cliente che sono state fatte disposizioni (che lui non ha fatto) o che c’è una probabile truffa in corso, ecc. Il messaggio di solito contiene un link che, a ben vedere, non è quello della propria banca.

Il cliente, preso dall’agitazione, spesso non ci fa caso e clicca il link, che di solito lo porta in un sito apparentemente analogo a quello della banca.

Il fatto di aver cliccato il link avvisa il truffatore che il cliente sta abboccando: a questo punto generalmente il truffatore telefona al cliente (talvolta da un numero che all’apparenza è quello della banca), fingendosi la banca e offrendosi di bloccare le operazioni che si erano indicate come eseguite contro la volontà del cliente.

Per farlo chiede al cliente stesso l’invio dei codici dispositivi o dei codici che la banca manda per sms per autorizzare l’operazione: il cliente, anche in buona fede, consegna questi codici, ma in realtà il truffatore li utilizza per disporre al suo posto bonifici magari immediati, così sottraendo le somme presenti nel conto corrente.

Le modalità concrete della truffa possono anche essere diverse e coinvolgere altri mezzi di comunicazione, ma nella sostanza la truffa è quella sopra delineata.

È possibile chiedere il rimborso di quanto sottratto?

Uno degli aspetti più rielevanti è quello del diritto al rimborso del cliente.

Il cliente può anzitutto agire contro il truffatore per farsi restituire quanto sottratto. Ma, generalmente, si tratta di soggetti privi di un patrimonio o addirittura dei prestanome del vero truffatore. Per cui, certamente il cliente truffato può fare denuncia e questa può portare all’individuazione del responsabile o anche alla sua condanna, ma resta improbabile riuscire ad avere un rimborso economico.

Per questa ragione diventa importate capire se il truffato può avere modo di chiedere un rimborso alla banca presso la quale vi è il conto corrente dal quale sono partiti i bonifici.

Il fatto è che non è così facile individuare una responsabilità della banca, la quale di solito ha delle misure adeguate per prevenire un episodio di phishing: in fondo, generalmente, l’episodio avviene per una ingenuità del cliente che abbocca alla truffa e consegna i codici dispositivi.

Ma la responsabilità della banca in alcuni casi vi può essere.

Dal profilo giuridico, in estrema sintesi, la banca è tenuta a rimborsare il cliente di quanto sottratto dal truffatore a meno che non dimostri la colpa grave del cliente stesso. Per cui, per capire se vi può essere o meno diritto al rimborso, diventa fondamentale capire come si sono svolti i fatti.

Come detto, spesso una ingenuità del cliente vi è. Capire se questa è una colpa grave o lieve non è semplice e la valutazione è ampiamente discrezionale.

Si può sostenere che le persone sanno che i codici non vanno trasmessi ai terzi o che il link ricevuto nel messaggio era visibilmente diverso da quello della banca (di cui la colpa grave) oppure che l’sms proveniva apparentemente dalla banca (e di qui un affidamento che non fa nascere una colpa grave).

Per cui, appunto, occorre capire come si sono svolti i fatti e quali elementi scusanti ci sono: in ogni caso, comunque e come anticipato, la valutazione ha ampi margini di discrezionalità, per cui non è facile prevedere con certezza se una ipotetica causa andrà bene o male.

Si tratta di contenziosi abbastanza nuovi e non si sono ancora consolidati indirizzi della giurisprudenza unitari: spesso i vari tribunali danno risposte diverse.

Per cui diventa fondamentale l’assistenza di un avvocato esperto del settore bancario che conosca non solo la materia ma anche gli orientamenti del tribunale presso il quale si farà causa.

Le sentenze della giurisprudenza

Come detto, le sentenze non hanno indirizzi unitari: i medesimi fatti vengono talvolta valutati in modo diverso.

Ad esempio recentemente il Giudice di Pace di Roma ha rigettato la richiesta di risarcimento del cliente contro la banca.

La sentenza indica che la banca convenuta “imputa, tra l'altro, al cliente non solo di aver comunicato ai truffatori tutti i codici per l'utilizzo dei servizi telematico on line ma anche di avere autorizzato le due operazioni, dopo l'invio degli sms contenenti i codici OTS e l'avviso che si stavano autorizzando le due operazioni... Quanto sopra, ad avviso di questo Giudice, integra gli estremi di una condotta caratterizzata da una colpa grave del cliente, tale da escludere che nel caso di specie possa trovare accoglimento la domanda giudiziale” (Giudice di Pace di Roma6 luglio 2022, n. 13050).

In una diversa sentenza, invece, la banca si era difesa indicando che “l'operazione era stata eseguita dall'indirizzo IP dell'attrice e con l'uso del dispositivo personale OTP; che pertanto l'esecuzione dell'operazione era imputabile a difetto di custodia o smarrimento del dispositivo OTP, ovvero ad un errore nella digitazione del codice iban, ovvero ancora ad un'azione di sottrazione da parte di terzi (phishing) delle credenziali di accesso al sistema; che la correntista non aveva attivato il servizio di "sms email alert', previsto in contratto come opzionale”.

Pur a fronte di questi dati di fatto il Tribunale ha condannato la banca indicando che “alcuna prova, nemmeno in via indiziaria, è stata fornita dalla Banca circa l'incauto comportamento della stessa titolare del conto, che avrebbe consentilo la sottrazione dei codici, ovvero riguardo ad errori di esecuzione dell'operazione imputabili alla correntista. Né -per espresso disposto di legge (art. 10 comma 2 d.lgs. n. 11/2010) - la prova dell'utilizzo da parte della società attrice di uno strumento registrato (ossia il dispositivo personale OTP) è sufficiente a dimostrare che l'operazione sia stata autorizzata dall'attrice, né che quest'ultima abbia agito in modo incauto, omettendo di adottare le misure idonee a garantire la sicurezza dei dispositivi per l'uso del mezzo di pagamento” (Tribunale di Pesaro 7 settembre 2021). Di qui la condanna della banca al rimborso.

Conclusioni

Le due sentenze dimostrano come la stessa situazione di fatto può essere interpretata in modo diverso.

Per cui da un lato i clienti della banca devono stare molto attenti ai messaggi che ricevono e alle richieste esterne di trasmissione dei codici ecc. a evitare che vengano disposti bonifici contro la loro volontà: ma dall’altro lato, se mai dovesse capitare un caso di phishing, diventa fondamentale agire con prontezza, denunciare correttamente i fatti sottolineando gli aspetti che giustificano l’abboccamento e che escludono una colpa grave.