Decisione N del 01 aprile 2014

Transcript

1 COLLEGIO DI NAPOLI composto dai signori: (NA) CARRIERO (NA) CONTE (NA) PATRONI GRIFFI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (NA) RUSSO Membro designato da Associazione rappresentativa degli intermediari (NA) GUIZZI Membro designato da Associazione rappresentativa dei clienti Relatore RUSSO GIUSEPPE Nella seduta del 25/02/2014 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO Con ricorso presentato in data , la Ricorrente rappresentava che era titolare di un conto corrente con annesso servizio di home banking; in data alle ore 10:41 veniva informata tramite sms della disposizione di un bonifico on line di euro 4.781,00 in favore di una carta prepagata intestata a un soggetto sconosciuto; non avendo disposto tale operazione si recava tempestivamente in banca per bloccarla. Il giorno successivo la ricorrente denunciava il fatto alle competenti autorità e, secondo quanto riferito, proponeva reclamo alla banca sostenendo che si trattasse di una violazione dei sistemi di sicurezza della banca, in particolare di un caso di phishing. In sede di reclamo, l intermediario declinava ogni addebito imputando la responsabilità dell occorso a un virus informatico che aveva infettato il personal computer dell utente Pag. 2/8

2 e precisava comunque di essere riuscita a recuperare e di aver restituito alla cliente la somma di 1.024,00. La ricorrente domandava pertanto- la restituzione di 3.758,13 pari al controvalore del bonifico fraudolento al netto della somma recuperata e rimborsata dall intermediario. L intermediario costituitosi nel presente procedimento, ribadiva quanto precisato in sede di reclamo e di essere disposta a coprire l importo truffato sino alla concorrenza del 55%. Invero, la Banca nella nota del evidenziava che la cliente avrebbe omesso di riferire nella denuncia tempestivamente sporta ai Carabinieri che contestualmente a detta operazione, ella fosse intenta ad accedere, ripetutamente, proprio al servizio di banca via internet. A sostegno di quanto affermato l intermediario allegava una mail con la quale il consulente finanziario di riferimento della ricorrente avrebbe riscontrato la richiesta di chiarimenti avanzatagli dall ufficio reclami dell intermediario; in tale documento si leggeva che la cliente avrebbe telefonato alla filiale e che avrebbe riferito che stava effettuando, come suo solito, delle operazioni con il multicanale però, diversamente dalle altre volte, aveva notato che appena dopo la richiesta dell inserimento del codice di adesione e del pin come successiva maschera le sarebbe comparsa la videata nella quale le veniva chiesto di inserire il codice numerico generato del token ed il tutto prima di inserire i dati del bonifico che aveva intenzione di fare. Inoltre, l intermediario precisava che il proprio sistema di sicurezza prevede un sistema di autenticazione a due fattori che richiede l inserimento di userid e password in fase di accesso e del codice monouso generato dal token solo in fase di conferma delle disposizioni; l attenzione dei clienti su tale ultima circostanza è richiamata in più punti del sito e soprattutto nella prima schermata di accesso. L intermediario sottolineava altresì che la società ricorrente ben conosceva il funzionamento del sistema in quanto utilizzava il servizio di banca via internet con una eccezionale frequenza e che, in ogni caso, è nota l esistenza di virus appositi che all atto del collegamento all home banking propongono l inserimento dell OTP in momenti diversi dalla conferma dell operazione di pagamento così da poter autorizzare in tempo reale la disposizione fraudolentemente predisposta e prelevare con estrema rapidità l importo, scongiurando così ogni azione di recupero, proprio come avvenuto nel caso in esame. Pag. 3/8

3 Agli atti venivano riportati i dati delle operazioni di prelievo conseguenti al bonifico fraudolento disposto alle ore 10:40:32. L intermediario precisava che il ristretto arco temporale (13 min) durante il quale sono state poste in essere le prime 6 operazioni non avrebbe consentito al personale dell agenzia di bloccare la carta beneficiaria (radicata presso altra filiale) quand anche la cliente avesse chiamato telefonicamente l agenzia contestualmente all arrivo dell SMS Alert. Pertanto, pur non essendoci alcuna certezza sulla tempestività della telefonata della cliente in agenzia, la banca si è dichiarata disponibile al rimborso dell ulteriore importo di 1.600,00 pari alle successive quattro operazioni poste in essere tra le e le in considerazione di una ipotetica responsabilità per il ritardo nel blocco della carta beneficiaria; tale importo sommato a quello recuperato e già rimborsato costituisce il 55% delle somme fraudolentemente sottratte. La Banca resistente chiedeva al Collegio di riconoscere la colpa grave della società ricorrente nell aver direttamente consentito il prodursi della truffa ed ascrivere alla Banca la sola responsabilità nel ritardo del blocco della carta del truffatore nei limiti offerti (euro 1.600,00 oltre quelli già rimborsati di euro per un totale di euro 2.624,00). DIRITTO Il ricorso è fondato. Risultano agli atti la denuncia del sporta dalla ricorrente ai Carabinieri e le deduzioni della Banca in uno alle dichiarazioni del consulente competente per la gestione della relazione che con mail del chiedeva informazioni istruttorie dal competente ufficio reclami della banca. Risulta incontestata la circostanza che la società ricorrente sia rimasta vittima di una frode informatica e ciò indipendentemente dal fatto che abbia omesso di riferire alcune circostanze di fatto che anzi tale frode confermano. Risulta, inoltre, che la Banca ha riconosciuto che la cliente contestualmente alla ricezione del sms (ovvero alle ore 10.41) ha effettuato la telefonata in filiale con la quale la stessa ha riferito che c'erano problemi sul multicanale ed ha invitato l'intermediario ad intervenire per bloccare le operazioni fraudolente. Pag. 4/8

4 Inoltre, risulta che il frodatore ha agito in 13 minuti arco temporale in cui ha effettuato sei operazioni. La questione, tuttavia, và delineata nei contorni della presenza o meno di colpevolezza da parte della cliente. In concreto, la società ricorrente, che dalla documentazione in atti risulta utilizzare frequentemente il sistema internet per le operazioni bancarie, per l operatività su internet poteva disporre del token: un congegno in grado di generare mutevoli password monouso dalla durata limitata a pochi secondi e del tutto privo di autonomo collegamento ad internet che, pertanto, aggiungendosi alla password nota solo all utente, forma un sistema di autenticazione a due fattori, tale da garantire, in sé, margini di sicurezza invalicabili se non con una collaborazione da parte del titolare che se attuata caratterizza una palese colpa grave. Un frequentatore assiduo del sistema bancario on line (come nel caso di specie) sa che sono in circolazione alcuni virus programmati in maniera specifica che agiscono nel momento in cui l utente digita sulla barra degli indirizzi quello del proprio intermediario. Riconoscendo l indirizzo digitato, pur rimanendo sul sito originale, il virus propone a video un immagine nella quale viene richiesta anche la password dispositiva per accedere ai servizi di Banca via internet, oppure, con svariati pretesti, propone dei box per l immissione della password dispositiva in momenti diversi dalla conferma delle disposizioni. Pertanto, una volta incautamente digitato il codice generato dal token da parte del titolare, parte immediatamente un bonifico, già predisposto dal truffatore che con estrema rapidità viene prelevato al fine di scongiurare ogni possibile azione di recupero. Nella fattispecie, come risulta dall allegato alla nota delle controdeduzioni predisposte dalla Banca, il truffatore ha agito in pochi minuti (il truffatore ha iniziato ad utilizzare la provvista del bonifico ricevuto dopo soli tre minuti alle e alle già aveva perfezionato sei operazioni). Pertanto, il truffatore ha operato complessivamente in 13 minuti. Un arco di tempo che ancorchè contenuto poteva consentire al personale di bloccare la carta ricaricabile del beneficiario considerato che la cliente ha chiamato telefonicamente l agenzia contestualmente all arrivo dell SMS ovvero alle ore D altro canto, non si può omettere di considerare che manca la prova della condotta irresponsabile della cliente che avrebbe comunicato (ovviamente in modo del tutto Pag. 5/8

5 inconsapevole) al truffatore la password prodotta dal token in una fase in cui non era previsto l inserimento dello stesso. Dunque, manca la prova che la cliente sia stata vittima di una colpevole credulità in quanto l intermediario non ha dimostrato che quest ultima avesse comunicato le proprie credenziali di autenticazione al di fuori del circuito operativo dell intermediario. Diversamente, l intermediario si è limitato a riferire dell esistenza di una ipotetica telefonata della cliente dalla stessa mai menzionata. Il contratto agli atti non richiama le modalità della comunicazione. Tuttavia, ai sensi dell art.9 del d.lgs. n. 11 del rubricato Comunicazione di operazioni non autorizzate o effettuate in modo inesatto : L'utilizzatore, venuto a conoscenza di un'operazione di pagamento non autorizzata o eseguita in modo inesatto, ivi compresi i casi di cui all'articolo 25, ne ottiene la rettifica solo se comunica senza indugio tale circostanza al proprio prestatore di servizi di pagamento secondo i termini e le modalità previste nel contratto quadro o nel contratto relativo a singole operazioni di pagamento. La comunicazione deve essere in ogni caso effettuata entro 13 mesi dalla data di addebito, nel caso del pagatore, o di accredito, nel caso del beneficiario. Per altro verso, l esclusione di una colpa grave, o di una colpa lieve è comprovata dalla più che tempestiva attivazione della ricorrente che, accortasi dell intervenuta operazione non autorizzata, ha provveduto ad informarne telefonicamente la banca per il blocco del bonifico, ha sporto il giorno successivo denuncia all autorità di P.S., successivamente, formalizzando il reclamo. Circostanze queste documentalmente comprovate e che la banca resistente non ha comunque contestato. Inoltre, non può negarsi che la tipologia dei virus on line è da tempo nota alla tecnica informatica, era ed è onere della resistente adottare strumenti in grado di respingere simili offensive o quanto meno fornire precise indicazioni volte a sventarle (quale, ad esempio, la specifica avvertenza, formulata con massima, enfatica evidenza, di verificare costantemente la presenza del corretto acronimo di protocollo https nella stringa operativa ovvero di porsi in contatto con il servizio clienti nel caso in cui il computer riportasse un segnale di conferma di credenziali) accortezze non provate dalla Banca resistente. Né si trascuri che il Provvedimento attuativo della Banca d Italia prevede l obbligo dell intermediario di dar corso a fasi di verifica teorica e pratica della vulnerabilità dei presidi di sicurezza con relativa revisione periodica del processo Pag. 6/8

6 stesso nonché di definire un adeguato insieme di presidi di sicurezza logica e fisica per i sistemi informativi, un efficace processo di controllo interno, un appropriato piano di continuità operativa e una gestione dei rapporti contrattuali con i fornitori esterni coerente con i suddetti vincoli: in breve un preciso obbligo di costante ed effettivo monitoraggio dell efficienza del sistema di sicurezza che, come tale, non può non tenere in debita considerazione l evoluzione dei metodi di aggressione e la costante ricerca di soluzioni protese ad ovviarne o arginarne le offensive. Ma decisivo argomento che consente di superare l eccezione di estraneità invocata dalla resistente risiede nel principio di distribuzione del rischio, enunciato nel Collegio Romano, per il quale in considerazione dell incomparabilmente maggior capacità economica dell intermediario di sostenere il rischio connesso all impiego di strumenti la cui sicurezza assoluta non è stata sin qui raggiunta (e probabilmente non verrà mai raggiunta dato l inarrestabile evolversi della tecnologia civile e la naturale rincorsa della tecnologia criminale nella stessa direzione), grazie ad una redistribuzione dei relativi costi sull intero pubblico dell utenza. Invero, l addossamento del rischio all intermediario (il cui estremo confine si colloca all altezza della colpa grave dell utente) appare viepiù giustificato dalla forte e incessante promozione all uso di tali strumenti posta in essere dal mondo bancario, in ciò aiutato anche da un sistema legislativo che sempre più ne impone l adozione (si ponga mente soltanto all obbligo per le imprese e i professionisti di operare i pagamenti tributari on line e non più allo sportello). Siffatta promozione e siffatta imposizione, comporta obiettivamente un sensibile beneficio economico per gli stessi intermediari consentendo loro significativi ed evidenti risparmi rispetto ad una tradizionale operatività di sportello. Un tale beneficio deve dunque trovare, come trova, nel dettato normativo, un correlato pendant proprio nel trasferimento, in capo allo stesso intermediario che gode di quel beneficio, altresì del rischio portato dall impiego dello strumentario tecnologico da cui quello stesso beneficio deriva (con i soli estremi limiti, beninteso, della frode del dolo o della colpa grave ascrivibile all utilizzatore). In senso conforme, decisione del Collegio di Coordinamento n. 3498/2012. P.Q.M. In accoglimento del ricorso, il Collegio dichiara tenuto alla restituzione dell importo di euro 3.758,13. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese Pag. 7/8

7 della procedura e al ricorrente la somma di 20,00 quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 8/8