Truffa Conto corrente svuotato: La banca deve rimborsare?

Nell’era dell’home banking sempre più spesso accade di trovarsi di fronte a situazioni spiacevoli. È proprio quello che è accaduto al correntista, parte in causa del procedimento in questione, il cui conto corrente è stato svuotato nel cuore della notte di una somma pari a 2.700 euro. Un bonifico è stato difatti effettuato verso un conto lituano, a favore di un beneficiario mai prima utilizzato. Cosa ha portato al movimento bancario in questione è emerso nell’arco del procedimento instaurato di fronte al Giudice di Pace. L’uomo infatti, credendo di effettuare un aggiornamento dell’applicazione Google Chrome, ha invece erroneamente installato all’interno del proprio smartphone un malware, cd. trojan bancario, che si è rapidamente esteso all’intero dispositivo, rubandogli le credenziali e consentendo la transazione in questione.

La fallace difesa della Banca

A seguito dell’illecito trasferimento di denaro, la banca ha provato a difendersi cercando di scaricare ogni responsabilità in capo al correntista. La difesa ha difatti fatto leva, senza successo, su un comportamento negligente del proprio cliente etichettato come disattento e imprudente. Il riferimento va all’art 12 del decreto, che in caso di colpa grave dell’utente potrebbe escludere la responsabilità della Banca. Più nello specifico, l’aver navigato su un sito non sicuro e l’aver installato il malware sarebbero elementi asseritamente in grado di scagionare l’istituto bancario. Il tutto supportato dai seguenti elementi:

• ottimale funzionamento del server
• nessun malfunzionamento o falla di sicurezza e utilizzo della cd. autenticazione forte
• pagamento autorizzato in modo corretto

Al fine di corroborare la propria tesi la banca ha anche prodotto sia i registri dell’operazione, che gli SMS e le notifiche push a dimostrazione di una corretta operazione bancaria.

La decisione del giudice ed il principio di inversione dell’onere della prova

Trattasi di una pronuncia molto importante dal lato degli utenti, volta mettere al centro i temi della sicurezza e della tutela dei correntisti. Il punto di snodo è senz’altro l’art. 10 del D.lgs. 11/2010 in materia di servizi di pagamento, ai sensi del quale quando il cliente nega di aver autorizzato un’operazione bancaria è sulla banca che grava l’onere della prova, e non su di lui. Spetta al prestatore di servizi di pagamento dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di guasti tecnici o altri inconvenienti. La giurisprudenza della Corte di Cassazione ha costantemente ribadito questo principio, affermando che la banca, per liberarsi dalla propria responsabilità, deve fornire una prova positiva della condotta gravemente negligente del cliente, non potendola desumere in via presuntiva dalla sola regolarità formale dell’operazione.

La giurisprudenza ha qualificato la responsabilità della banca per le operazioni fraudolente online come di natura contrattuale. Di conseguenza, l’istituto di credito è tenuto a un grado di diligenza particolarmente elevato, parametrato sull’ “accorto banchiere” (art. 1176, comma 2, c.c.).

Cosa cambia per le banche?

La sentenza in questione chiarisce ulteriormente il contenuto dell’onore della prova gravante sul prestatore di servizi. Qui la situazione per gli istituti bancari si complica. Secondo il Giudice di Pace non basta semplicemente provare un corretto funzionamento del sistema di pagamento, né dimostrare l’insussistenza di eventuali falle di sicurezza. Effettivamente, dimostrare l’utilizzo delle credenziali proprie del cliente non significa provare che quest’ultimo ha dato il consenso all’operazione. Anzi, diversamente, la frode informatica presuppone una condotta attiva del truffatore che opera proprio adoperando credenziali rubate, nell’ambito di operazioni apparentemente regolari. Pertanto la produzione in giudizio dei registri dell’operazione, gli SMS e le notifiche push non è sufficiente a ritenere integrato l’onere di provare la colpa grave del correntista. Pertanto, la banca non può limitarsi a dimostrare di aver implementato un sistema di autenticazione forte. Deve anche provare di aver adottato tutte le misure tecnologicamente disponibili per prevenire e individuare le frodi, come:

Sistemi di monitoraggio e allerta (alerting) per individuare operazioni anomale o sospette in base alle abitudini del cliente (es. importi elevati, rapida successione di bonifici, beneficiari sconosciuti, geolocalizzazione insolita); Invio di notifiche preventive.

Al contrario, nel caso di specie, il giudice ha evidenziato degli evidenti segnali di allarme che la banca avrebbe potuto e dovuto individuare. Si pensi:

• all’importo abbastanza significativo dell’operazione;
• all’ora notturna in cui essa è avvenuta;
• al conto corrente beneficiario estero o al beneficiario mai prima utilizzato.

Trattasi di segnali alquanto manifesti, che oltre a dover mettere gli Istituti Bancari sull’attenti, avrebbero necessitato di obblighi di controllo rafforzati¹.

Quali Sistemi Di Sicurezza Adoperare?

Un altro fattore si è rivelato inoltre decisivo al fine di stabilire la responsabilità. Infatti, se il sistema di sicurezza è stato aggirato, significa che esso non era adeguato a tutelare il cliente da eventuali attacchi informatici. In merito la giurisprudenza è costante nel sostenere che l’adozione formale di sistemi di sicurezza non basta, se questi non sono in grado di proteggere realmente dalle frodi digitali. La Banca è quindi stata condannata ad un rimborso di euro 2700,00, cui è stata aggiunta una somma pari a 500,00 euro per la mancata partecipazione, senza valida giustificazione, al procedimento di mediazione.

Cosa fare se si è vittima di frode bancaria ?

La legge vigente e la giurisprudenza tendono a tutelare chi subisce frodi informatiche, riconoscendo che i pericoli legati all’uso della tecnologia hanno permeato anche l’attività bancaria. Ciò nondimeno, essenziale diventa per il comune cittadino capire come muoversi e agire tempestivamente. In caso di operazioni sospette, è infatti imprescindibile agire subito:

• segnalando immediatamente l’accaduto alla banca;
• bloccando la carta di credito o il bancomat interessato dall’operazione;
• modificando le credenziali;
• attivando l’autenticazione a due fattori;
• facendo segnalazioni su appositi siti o social;
• denunciando alle autorità;
• chiedendo assistenza legale.
  

In conclusione, questa pronuncia risulta interessante sotto un duplice versante. Al correntista che non ha autorizzato un pagamento viene infatti riconosciuta una doppia tutela. In primo luogo perché non tutto è perduto e può rientrare in possesso dei propri soldi. In secondo luogo perché gli viene riconosciuta la possibilità, in assenza di dolo o colpa grave, di non dover dimostrare la frode. È sulla Banca che grava tale onere. Non si dimentichi, peraltro, che anche qualora si fosse in presenza di colpa grave, e non è questo il caso, essa deve essere dimostrata in quanto non si può presumere.

1. Conto Corrente, la banca deve rimborsarti se ti svuotano il conto con un bonifico rubandoti la password: nuova sentenza. Brocardi.it ↩︎