Tribunale Ordinario di Firenze, sentenza 12 febbraio 2025, n. 501
Domanda giudiziale
I ricorrenti, correntisti di una banca, hanno adito il Tribunale chiedendo il rimborso della somma di € 13.000,00, oggetto di un bonifico online disconosciuto, oltre a € 341,60 per spese di mediazione, interessi e rivalutazione.
A sostegno della domanda, hanno rappresentato di essere stati vittime di una truffa c.d. smishing: avevano ricevuto un SMS apparentemente proveniente dalla banca, contenente un link. Successivamente, un terzo aveva disposto un bonifico di € 13.000,00 dal loro conto verso ignoti. I correntisti hanno dichiarato di non aver mai consegnato le proprie credenziali a nessuno, di aver sporto denuncia-querela e di aver richiesto invano il rimborso alla banca.
L’istituto di credito si costituiva, eccependo che le operazioni erano state autenticate tramite codice OTP inviato al telefono del cliente e mediante la procedura di strong authentication (SCA). Sosteneva, pertanto, che il bonifico fosse stato autorizzato e imputava l’accaduto alla colpa grave del correntista, il quale – come emerso dalla denuncia – aveva cliccato su un link ricevuto via SMS (ammettendo di averlo ricevuto).
Fatto
L’operazione contestata consiste in un bonifico di € 13.000,00 disposto il 19/11/2021 dal conto corrente degli attori verso un terzo sconosciuto.
Dalla ricostruzione tecnica emersa in corso di causa (CTU), il raggiro si è sviluppato in due fasi: dapprima il truffatore ha indotto il correntista a consentire la registrazione di un nuovo dispositivo mobile (c.d. enrollement) attraverso una telefonata fraudolenta; successivamente, con quel dispositivo, ha disposto il bonifico.
La CTU ha accertato che la procedura di registrazione sfruttava una vulnerabilità del sistema informatico della banca: la c.d. secure call utilizzava il “DeviceName” (nome arbitrario assegnato dall’utente al telefono) anziché il “ModelName” (codice modello non modificabile). Il truffatore aveva chiamato il proprio dispositivo “Questo telefono”. Pertanto, il messaggio recitato dalla banca era: “Registra il tuo dispositivo: Questo Telefono per l’accesso all’app e all’home banking”. Il correntista, sentendo “questo telefono” mentre parlava al telefono, è stato tratto in inganno, ritenendo di star autorizzando il proprio dispositivo. Solo in un secondo momento riceveva un SMS di conferma, anch’esso ambiguo, che si concludeva con “L’identificativo del dispositivo è: Questo Telefono”.
Disamina
Il Tribunale richiama la disciplina applicabile (d.lgs. n. 11/2010, attuativo della PSD2). In particolare, l’art. 10 pone a carico della banca l’onere di provare che l’operazione è stata autenticata, correttamente registrata e, soprattutto, che l’utente ha agito con dolo o colpa grave.
Nel caso di specie, la banca non ha assolto a tale onere. Al contrario, la CTU ha dimostrato che il sistema informatico adottato dall’istituto presentava criticità oggettive:
- la scelta di utilizzare il “DeviceName” (modificabile dall’utente) invece del “ModelName” (immutabile e univoco) ha reso possibile l’equivoco;
- il messaggio di conferma era ambiguo e non consentiva al cliente di comprendere di star abilitando un dispositivo diverso dal proprio.
Il Giudice osserva che la banca non ha adottato la diligenza qualificata dell’“accorto banchiere” (art. 1176, comma 2, c.c.), avendo predisposto un sistema vulnerabile ad attacchi di social engineering e un messaggio di sicurezza poco chiaro.
Pertanto, il Tribunale ritiene che il bonifico non possa considerarsi autorizzato in senso tecnico, essendo stato carpito con raggiro ed essendo il sistema bancario stesso inadeguato a prevenire l’inganno. Nessuna colpa grave è ravvisabile in capo ai corre ntisti, i quali hanno agito secondo le istruzioni apparentemente fornite dalla banca tramite un messaggio che creava equivoco.
Conclusione
Il Tribunale accoglie integralmente la domanda attrice.
Condanna la banca convenuta al rimborso della somma di € 13.000,00, oltre interessi e rivalutazione dalla data del bonifico (19/11/2021) fino all’effettivo pagamento.
Condanna altresì la banca al pagamento delle spese di lite ( € 4.227,00 per compensi, oltre accessori, spese di mediazione per € 341,60 e anticipazioni per € 264,00) e pone definitivamente a suo carico le spese di CTU e di consulente tecnico di parte ( € 1.342,00).
Principio di diritto
In caso di operazione di pagamento disconosciuta, grava sul prestatore di servizi di pagamento l’onere di provare non solo la regolarità tecnica dell’operazione (autenticazione e registrazione), ma anche la colpa grave o il dolo dell’utente. Tale onere non è assolto laddove il sistema informatico della banca presenti vulnerabilità oggettive (quali l’uso di identificativi modificabili e messaggi ambigui) che agevolano il raggiro (c.d. social engineering), esponendo il cliente a un rischio prevedibile e non a deguatamente presidiato. In tale ipotesi, l’operazione non può ritenersi “autorizzata” dalla volontà consapevole dell’utente e l’intermediario è tenuto all’integrale rimborso.
Legal Advice
Alla luce della decisione, l’intermediario bancario deve:
- verificare che i sistemi di autenticazione forte (SCA) utilizzino informazioni oggettive e non modificabili (es. modello del dispositivo, IMEI) per identificare i dispositivi;
- rivedere i messaggi vocali e scritti inviati al cliente durante le procedure di registrazione di nuovi dispositivi, rendendoli chiari, univoci e privi di ambiguità (es. specificare marca e modello effettivo del dispositivo da abilitare);
- implementare sistemi di alert immediati che informino il cliente, in modo inequivocabile, dell’abilitazione di un dispositivo nuovo e delle sue caratteristiche tecniche;
- predisporre meccanismi di blocco temporaneo o verifica rafforzata in caso di registrazione di un dispositivo da un luogo/ora sospetta o con modalità inconsuete;
- intensificare la formazione del personale e le campagne informative verso la clientela sui rischi connessi a smishing e truffe telefoniche che sfruttano le procedure di enrollement.
