Quando la vittima di una truffa informatica non ha diritto al risarcimento per le somme sottratte dal conto.

Il phishing è un fenomeno in forte aumento che colpisce soprattutto i frettolosi, i distratti e gli inesperti. I link malevoli inseriti in email o messaggi sul cellulare sono in grado di carpire le credenziali di accesso all’home banking e svuotare il conto.

Di norma l’istituto di credito è tenuto a restituire le somme trafugate tutte le volte in cui non ha predisposto un sistema di sicurezza tale da poter sventare le truffe informatiche. A spiegare invece quando la banca non rimborsa la vittima di phishing è una recente sentenza del Tribunale di Roma (sent. n. 16588/2023 del 15.11.2023).

Secondo tale pronuncia la banca non è tenuta a risarcire il cliente se dimostra che questi ha avuto una condotta «fortemente imprudente» nel comunicare al truffatore la propria password. Ma procediamo con ordine.

Qual è stato il caso specifico esaminato dal Tribunale di Roma?

Un cliente si è rivolto al tribunale dopo essere stato vittima di una truffa online. Ha intentato causa contro la sua banca, con la quale aveva un rapporto di conto corrente e servizio di pagamenti telematici, per grave inadempimento contrattuale. Il cliente sosteneva che la banca avrebbe dovuto impedire l’illecita captazione dei suoi codici di accesso all’home banking e l’uso fraudolento della sua carta di debito prepagata, richiedendo un risarcimento.

La banca ha declinato ogni responsabilità, attribuendo la realizzazione della truffa alla condotta negligente del cliente.

Qual è stata la decisione del tribunale riguardo al caso?

Il tribunale ha stabilito che il cliente non aveva diritto al risarcimento dalla banca. La banca aveva infatti adottato un sistema di autenticazione forte a doppio fattore per l’accesso al servizio di home banking (come previsto dal decreto legislativo 11/2010). Tale sistema consiste nell’utilizzo combinato di password statiche e password dinamiche utilizzabili una volta sola e generate dall’applicazione della banca installata sullo smartphone del cliente.

Ma le precauzioni sono state vanificate dalla condotta imprudente del correntista. Quest’ultimo ha infatti inserito i propri codici di accesso su un link sospetto e successivamente comunicato al truffatore anche le password variabili del conto, nonostante gli avvisi di allerta ricevuti dalla banca.

In che modo il tribunale ha valutato la condotta del cliente?

Il tribunale ha giudicato il comportamento del cliente come «fortemente imprudente», soprattutto considerando che la banca aveva condotto una campagna antifrode incentrata sulla prevenzione del phishing, esortando i clienti a non condividere le proprie credenziali.

Secondo il tribunale, le frodi tramite phishing sono così diffuse e note da rendere inescusabile la condotta di un utente dei servizi di pagamento che decida di comunicare le proprie credenziali di autenticazione al di fuori del circuito operativo dell’intermediario.

Quando la banca non risarcisce la vittima di phishing?

Qualora la banca abbia fornito un sistema di autenticazione forte a doppio fattore per l’accesso al servizio di home banking ed il cliente si colleghi a un link contenuto in un messaggio (che sembrava inviato dalla banca), inserendo i codici di accesso al servizio di home banking e poi comunichi al frodatore anche le password variabili di accesso al conto, consentendo così il compimento della truffa, la Banca non dovrà rimborsare alcunché.

Come comportarsi se si è vittima di phishing

Il rimborso viene garantito tutte le volte in cui il cliente è caduto in un errore scusabile, in cui sarebbe potuto incorrere chiunque, oppure quando la banca non lo ha avvisato del tentativo di prelievo con il messaggio o la notifica push.

In tali casi è necessario:

• sporgere querela contro ignoti alla polizia postale o ai carabinieri;
• depositare copia della querela alla banca insieme alla richiesta di rimborso;
• se la banca declina la richiesta è possibile, prima di rivolgersi al giudice, presentare ricorso all’ABF (l’Arbitro Bancario e Finanziario) che, di norma, decide la vicenda con un incontro telematico tra le parti e con un costo vivo di 20 euro;
• in caso di mancato accordo o in caso di proposta insoddisfacente della banca, la vittima può rivolgersi a un avvocato per avviare la causa civile dinanzi al Tribunale.