Arbitro Bancario Finanziario, Collegio di Bari, decisione 15 maggio 2024, n. 5817
Domanda giudiziale
Il ricorrente, titolare di un conto corrente, ha adito l’Arbitro Bancario Finanziario (ABF) per ottenere il rimborso della somma di € 998,00, sottratta tramite due bonifici istantanei disconosciuti.
A sostegno della domanda, ha rappresentato di essere stato vittima di una truffa combinata di tipo smishing e vishing. Aveva ricevuto un SMS, apparentemente proveniente dall’intermediario, che segnalava un accesso anomalo e lo invitava a cliccare su un link per proteggere il conto. Dopo aver inserito le proprie credenziali sul sito fraudolento, veniva contattato telefonicamente da un sedicente operatore della banca, che, con il pretesto di bloccare operazioni fraudolente, lo induceva a generare e comunicare tre codici token. Di conseguenza, venivano disposti due bonifici istantanei per un totale di € 998,00.
L’istituto di credito si è opposto alla richiesta, sostenendo la regolarità delle operazioni, eseguite nel rispetto della procedura di autenticazione forte del cliente (SCA). Ha eccepito la colpa grave del ricorrente, il quale, per sua stessa ammissione in sede di denuncia, aveva comunicato a terzi le credenziali e i codici autorizzativi. Inoltre, l’intermediario ha evidenziato che il cliente non ha fornito alcuna prova del messaggio “civetta” né del numero di telefono del chiamante, impedendo così di valutare l’effettiva insidiosità della frode.
Fatto
In data 14 ottobre 2023, il ricorrente riceveva un SMS che, a causa di un presunto accesso anomalo, lo indirizzava tramite un link a un modulo web con l’intestazione dell’intermediario. Qui, inseriva il proprio codice identificativo e il PIN. Subito dopo, riceveva una telefonata da un numero verde, apparentemente riconducibile al servizio clienti della banca, da parte di un falso operatore. Quest’ultimo lo informava di tre bonifici non autorizzati in corso e lo istruiva a generare tre codici token dalla sezione bonifici del suo home banking per bloccarli. Il ricorrente seguiva le istruzioni, ma subito dopo riceveva SMS di addebito per due bonifici istantanei da € 499,00 ciascuno. Riusciva invece ad annullare una terza operazione di € 799,00, trattandosi di un bonifico ordinario.
Disamina
Il Collegio dell’ABF ha analizzato la controversia alla luce della disciplina sui servizi di pagamento, contenuta nel D.Lgs. 27 gennaio 2010, n. 11, che attua la Direttiva europea PSD2.
L’art. 10 del decreto pone a carico del prestatore di servizi di pagamento (l’intermediario) l’onere di provare che l’operazione disconosciuta sia stata autenticata, correttamente registrata e non viziata da malfunzionamenti. Fondamentalmente, è sempre onere dell’intermediario fornire la prova della “frode, del dolo o della colpa grave dell’utente”.
In primo luogo, il Collegio ha verificato la conformità del sistema della banca ai requisiti di Autenticazione Forte del Cliente (SCA). Dall’analisi dei log prodotti, è emerso che sia l’accesso all’home banking (tramite PIN e notifica push) sia l’esecuzione dei bonifici (tramite PIN e codice MToken) sono avvenuti nel rispetto della normativa, utilizzando due fattori di autenticazione indipendenti (conoscenza e possesso).
Tuttavia, come precisato da orientamenti consolidati sia dell’ABF che della Cassazione, la prova della regolarità formale dell’operazione non è di per sé sufficiente a escludere la responsabilità della banca. È necessario che l’intermediario dimostri la colpa grave dell’utente, fornendo elementi di fatto da cui desumerla in via presuntiva.
Su questo punto cruciale, il Collegio ha ritenuto decisivi due elementi a sfavore del ricorrente:
- Omessa produzione di prove: Il cliente non ha prodotto in atti né copia del messaggio SMS “civetta” né uno screenshot del registro chiamate. Questa omissione ha impedito al Collegio di valutare la natura e la sofisticazione della frode (ad esempio, se si trattasse di un caso di spoofing, in cui il messaggio fraudolento si inserisce nella cronologia di quelli autentici, rendendo l’inganno più insidioso).
- Dichiarazioni confessorie: Nella denuncia presentata, il ricorrente ha ammesso di aver seguito le istruzioni del sedicente operatore, fornendo le proprie credenziali e generando attivamente i tre codici token necessari per autorizzare le operazioni. Ha inoltre riferito di aver cliccato su un link che “chiaramente non indirizzava a un dominio dell’intermediario”.
Secondo il Collegio, la combinazione di questi elementi (il comportamento attivo e “confessato” del cliente e la sua incapacità di provare la particolare insidiosità dell’attacco) integra gli estremi della colpa grave, escludendo così la responsabilità dell’intermediario.
Conclusione
Il Collegio dell’Arbitro Bancario Finanziario ha rigettato integralmente il ricorso (“non accoglie il ricorso”).
Di conseguenza, ha stabilito che il ricorrente non ha diritto al rimborso della somma di € 998,00, dovendo sopportare interamente la perdita derivante dalle operazioni fraudolente a causa della propria colpa grave.
Principio di diritto
In caso di operazione di pagamento disconosciuta a seguito di frode informatica (smishing e vishing), la responsabilità per le perdite ricade interamente sull’utente qualora l’intermediario riesca a provare la sua colpa grave. Tale prova può essere raggiunta anche in via presuntiva, qualora l’intermediario dimostri la regolarità tecnica del proprio sistema di autenticazione forte (SCA) e, al contempo, l’utente:
- ammetta, anche in sede di denuncia, di aver comunicato le proprie credenziali e i codici autorizzativi a terzi, seppur indotto in errore;
- ometta di fornire qualsiasi elemento di prova (es. copia del messaggio, screenshot della chiamata) idoneo a dimostrare la particolare insidiosità della frode che potrebbe giustificare il suo errore, impedendo di fatto al giudicante di valutare il legittimo affidamento sulla genuinità della comunicazione.
Legal Advice
Alla luce della decisione, l’intermediario bancario deve:
- assolvere rigorosamente l’onere probatorio sulla SCA;
- eliminare le vulnerabilità dei sistemi di comunicazione;
- rendere i messaggi di sicurezza chiari e inequivocabili;
- implementare e documentare il monitoraggio delle transazioni;
- provare la colpa grave dell’utente in via presuntiva.
