COLLEGIO DI MILANO. Membro designato dalla Banca d'italia. (MI) GRECO Membro designato da Associazione rappresentativa degli intermediari

Transcript

1 COLLEGIO DI MILANO composto dai signori: (MI) GAMBARO (MI) LUCCHINI GUASTALLA (MI) ORLANDI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (MI) GRECO Membro designato da Associazione rappresentativa degli intermediari (MI) GIRINO Membro designato da Associazione rappresentativa dei clienti Relatore GIRINO EMILIO Nella seduta del 18/09/2014 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO In data 5 novembre 2013, dal conto corrente della società ricorrente, veniva disposto un bonifico on-line di ,20 con beneficiario estero. In seguito al disconoscimento dell operazione da parte della parte ricorrente, il successivo 11 novembre, la banca resistente presso cui era appoggiato il rapporto, provvedeva a restituirle (in data 30 dicembre 2013) la somma recuperata dall intermediario estero presso cui era appoggiato il conto del beneficiario, pari ad ,90. Il 9 gennaio 2014, la parte ricorrente lamentava la mancata restituzione della differenza tra quanto disconosciuto e quanto riaccreditatole, e di tale somma, pari ad ,70, chiedeva alla resistente un pronto ristoro unitamente ad 9.760,00 quale compenso corrisposto ad una società di consulenza per la formattazione dell hard disk aziendale così come richiesto dalla resistente, e ad 414,50 a titolo di spese sostenute per il compimento di operazioni allo sportello stante la sospensione disposta dalla resistente dell operatività del conto on-line. Nel riscontro, datato 27 marzo 2014, la resistente sosteneva che l accaduto era riconducibile ad una frode informatica perpetrata mediante l ausilio di specifici virus presenti nei computer della società ricorrente. Comunicava, tuttavia, di aver accolto la Pag. 2/7

2 richiesta della ricorrente in ordine all accredito, con valuta 5 novembre 2011, della differenza tra il bonifico disconosciuto e quanto recuperato previa sottoscrizione di quietanza liberatoria da parte della cliente, mentre rigettava le ulteriori istanze restitutorie. In pari data, la parte ricorrente presentava ricorso in cui inizialmente evidenziava come vi fosse all interno della società un unica persona incaricata delle operazioni di remote banking, la quale, una volta accortasi dell accaduto, aveva immediatamente sporto denuncia e disposto il richiamo del bonifico. A proposito del quale, la società ricorrente rilevava sia l incoerenza con gli importi delle operazioni usualmente effettuate, sia, sempre in contrasto con quanto solitamente avvenuto, la negoziazione sul circuito SEPA. Incongruenze delle quali la resistente avrebbe dovuto quantomeno informare la ricorrente. In merito poi alla piattaforma di remote banking predisposta dalla resistente, la ricorrente precisava come la stessa prevedesse l installazione una tantum di un certificato, l autenticazione dell utente mediante codice azienda, codice personale e password e, per la definitiva disposizione di ogni operazione, l inserimento di altra password modificata mensilmente. Tale procedura era stata palesemente violata dal soggetto criminale senza che tuttavia la resistente ne avesse rilevato la fraudolenta intromissione. La ricorrente passava poi ad una dettagliata disamina dei fatti; in particolare, faceva presente come, in seguito all incontro avvenuto nei locali della resistente il 13 novembre 2013, con il direttore di filiale durante il quale la ricorrente veniva informata circa la probabile presenza di malware nei propri pc e circa la necessità di denunciare formalmente quanto occorso alla dirigenza della banca, avesse comunicato alla resistente di essere dotata di ogni presidio di sicurezza previsto dalla legge e di aver incaricato una ditta terza specializzata per la conservazione forense dell hard disk del pc da cui era stata disposta l operazione fraudolenta, nonché di aver inviato la dovuta richiesta di ripetizione della somma illecitamente bonificata. Successivamente, grazie all intervento congiunto delle competenti forze dell ordine nazionali ed estere, la ricorrente si era vista accreditare la somma di ,90 dal conto corrente di una persona fisica straniera chiaramente identificata, per cui aveva proceduto ad un integrazione della denuncia precedentemente sporta contro ignoti, in cui, tra l altro, dichiarava di aver ricevuto qualche giorno prima, una richiesta di chiarimenti da parte della resistente circa l assenza di causale valutaria inerente l appena citato bonifico in entrata. Questo a riprova, proseguiva la ricorrente, della presenza di un ufficio di controllo a servizio della resistente che, però, non si era attivato per la fraudolenta operazione in uscita del precedente novembre. In merito alla verifiche tecniche eseguite dalla ditta incaricata dalla ricorrente, nella relazione tecnica presentata si sosteneva che il computer della ricorrente fosse stato molto probabilmente compromesso mediante tecniche assai avanzate di attacco, c.d. man in the browser, volte ad ingannare l utente dirottandone il collegamento verso siti identici agli originali ma progettati per carpirne i dati, senza che il soggetto frodato ne avesse consapevolezza alcuna. Inoltre, la società ricorrente deduceva tanto la cura e diligenza della propria dipendente nella custodia e corretto utilizzo delle credenziali d accesso e dispositive, quanto la carenza di dotazione, da parte della resistente, di presidi sicuri e strumenti più sofisticati come in uso presso molti altri intermediari. Nel concludere, ribadendo l inadempimento della resistente ai doveri di diligenza nella verifica e controllo sulle operazioni, la ricorrente chiedeva al Collegio il versamento di ,70 quale differenza tra il bonifico non autorizzato e l importo recuperato, 649,00 quale rimborso dei costi sostenuti per le operazioni di bonifico effettuate allo sportello dalla data di blocco del conto on-line alla data del ricorso o quantomeno il rimborso dei costi così sostenuti fino alla data del reclamo e pari a 414,50, 9.760,00 pari al costo della perizia sopradescritta, 5.709,60 per spese legali, oltre a 20 quale rimborso delle spese della presente procedura. Pag. 3/7

3 In data 3 giugno 2014, la resistente depositava le controdeduzioni in cui ribadiva quanto sostenuto nel riscontro del 27 marzo circa l offerta di rimborso integrale della differenza tra il maltolto e il recuperato, senza che ciò configurasse peraltro ammissione di responsabilità alcuna nell accaduto da parte della banca ma solamente nell ottica di buona gestione dei rapporti con la clientela. Quanto alle ulteriori istanze della ricorrente, la resistente rilevava come la richiesta di ristoro delle spese legali non fosse stata formulata nel reclamo e, pertanto, fosse da ritenersi ingiustificata, le spese della consulenza tecnica fossero da attribuirsi ad un autonoma scelta della ricorrente e, quindi, nessun obbligo risarcitorio ne nascesse in capo alla resistente, così come frutto di una decisione della ricorrente sarebbe stata la non riattivazione del servizio di home banking e il conseguente pagamento delle operazioni allo sportello. Pertanto, la resistente chiedeva al Collegio la reiezione del ricorso. DIRITTO L odierna controversia concerne un classico caso di frode informatica perpetrata attraverso la forzatura di sistemi di home banking. I fatti litigiosi sono pacifici tra le parti. È indubbio che il sistema informatico della società ricorrente (ente pubblico preposto ad attività di sviluppo economico territoriale e internazionale) sia stato colpito da un intrusione fraudolenta ad opera di soggetti terzi. E parimenti pacifico che l ingente bonifico, illegittimamente disposto da terzi e pari a poco meno di , non è ascrivibile ad una scelta della ricorrente, così come è pacifico che, a seguito di denuncia da parte della ricorrente alla banca resistente, quest ultima, con la collaborazione della polizia postale italiana e di quella del paese estero presso il quale era stato accreditato il bonifico fraudolento, è riuscita a recuperare ed ha fatto trasferire alla ricorrente ,90 sul totale del bonifico pari invece a ,60. Tale recupero si è reso possibile posto che, individuato il conto corrente beneficiario dell operazione in frode, le autorità del paese estero hanno posto sotto sequestro ciò che rimaneva sul conto di destinazione consentendone così la restituzione parziale alla ricorrente. È infine pacifico che la banca resistente, nello stesso giorno di presentazione del ricorso, abbia offerto alla società ricorrente il rimborso integrale della differenza pari a ,70: non risulta tuttavia che detta offerta sia stata accettata. Nel ricorso, la parte ricorrente domanda, in aggiunta alla rifusione della predetta differenza, altresì il risarcimento del danno principalmente consistito, a suo dire, nel sostenimento di costi di sportello per l esecuzione di bonifici compiuti durante la sospensione del servizio per un ammontare complessivo di 649, nel ristoro di 9770 pari ai costi sostenuti per l installazione di un hard disk esterno all azienda al fine di evitare il ripetersi di simili incidenti ed infine nella diffusione di 5709,60 a titolo di spese legali. Come ben noto, avendo il tema costituito oggetto di plurime decisioni da parte dell Arbitro Bancario Finanziario, la ripartizione di responsabilità fra cliente e intermediario in occasione del verificarsi di simili episodi è regolata dal d. lgs. 11/2010, che ha dato attuazione in Italia alla c.d. direttiva PSD. In particolare, l articolo 10 del predetto decreto, dopo aver chiarito che l autenticazione di una operazione non equivale di per sé a legittimità della stessa, esclude in via generale la responsabilità del cliente con la sola eccezione delle ipotesi riconducibili a colpa grave o dolo del cliente medesimo. Tale principio viene costantemente interpretato nel senso di escludere la responsabilità dell intermediario nel solo caso in cui quest ultimo abbia adottato tutti gli accorgimenti possibili alla luce delle esperienze tecnologiche al fine di prevenire la fraudolenta intrusione di terzi nei sistemi e il compimento di operazioni da parte di altri che non sia il Pag. 4/7

4 cliente legittimato. Più precisamente, l orientamento costante dei Collegi tende ad escludere responsabilità di sorta in capo all intermediario nel caso in cui quest ultimo abbia approntato un sistema di autenticazione cosiddetto forte, per tale intendendosi il cosiddetto sistema a due fattori, dove, accanto allo username e/o alla password fissa di accesso, vengono affiancati strumenti di impossibile clonazione o forzatura altrimenti noti come token o OTP, ossia strumenti di generazione automatica di password dispositivi mobili ossia soggette a continua modificazione in base ad appositi algoritmi. Nel caso di specie, non è dato riscontrare un effettivo sistema di autenticazione forte. Dalla documentazione prodotta in atti, sia dalla ricorrente che dalla resistente, emerge con chiarezza che gli ordini dispositivi impartibili attraverso il sistema on-line approntato dalla resistente presuppongono l impiego di una password cosiddetta statica, vale a dire una parola d ordine che il sistema obbliga a modificare al primo accesso nonché, successivamente, con cadenza mensile, ma non anche per ogni singola operazione, come invece assicurato dei predetti strumenti token o OTP. Tanto comporta, per definizione, una maggior vulnerabilità del sistema e, dal punto di vista strettamente giuridico, un non perfetto assolvimento, da parte della ricorrente, dell obbligo di approntare strumenti effettivamente tali da precluderne l uso fraudolento ad opera di terzi. Non rispondendo a siffatti requisiti, la predisposizione di una password dispositiva statica non esprime quel rafforzato livello di sicurezza che la tecnologia oggi consente di perseguire e che, come tale, risulta perseguito da più parte degli intermediari che offrano servizi finanziari su base informatica, sicchè la carenza di siffatta rafforzata cautela è sufficiente, in assenza di prove circa un presunto dolo o colpa grave del cliente, a recidere il caso in radice consentendo di affermare la responsabilità del resistente per mancata adozione delle suesposte soluzioni di accresciuta protezione. Del resto, la stessa offerta che la resistente conferma di aver formulato alla ricorrente e consistente nella disponibilità a versare l intero residuo non recuperato testimonia, va detto, in modo estremamente corretto da parte della resistente, la coscienza in capo a quest ultima della fragilità del proprio sistema di autenticazione. A tale insufficiente livello di sicurezza del sistema si aggiunge, poi, una condotta della banca non propriamente tempestiva nella risoluzione dell accaduto. Consta, infatti, che, dopo la denuncia dell evento ad opera della ricorrente avvenuta in data 11 novembre 2013, la resistente non si sarebbe immediatamente attivata. La ricorrente ha riportato - e la resistente non ha contestato, la sequenza degli scambi intervenuti tra l 11 e il 21 novembre Nel corso di questi 10 giorni sono avvenuti scambi e incontri tra le parti culminati poi con la richiesta della presentazione di una formale istanza di restituzione che la ricorrente perfezionerà il 21 novembre Con ogni probabilità, una più immediata attivazione e un minor puntiglio burocratico avrebbero consentito un più celere recupero della somma che forse avrebbe raggiunto un ammontare superiore a quello poi effettivamente restituito. Tuttavia, a parte ciò, non ci si può esimere dal rimarcare come, anche sotto il profilo della sorveglianza del sistema, la banca resistente abbia denotato una certa lacunosità procedurale. Fra i compiti e le potestà, che il citato decreto 11/2010 attribuisce all intermediario che presti servizi di pagamento, rientrano anche la sorveglianza dei dispositivi di pagamento e il loro eventuale blocco in caso di sospetto di operazioni fraudolente (in caso di sospetto, dunque prima e non già dopo il loro compimento). Va qui osservato che l ammontare del bonifico era in sé particolarmente rilevante in assoluto e che il destinatario, rispetto peraltro all operatività di un ente pubblico, era una persona fisica residente all estero, stilema questo alquanto ricorrente nelle frodi informatiche online. Né si dica che un siffatto controllo non sarebbe tecnicamente possibile. Quivi prescindendo dall avanzato stato della tecnologia informatica, che consente il Pag. 5/7

5 monitoraggio in automatico di operazioni poste in essere attraverso sistemi remoti, coglie nel segno il rilievo formulato da parte ricorrente in merito alla fase di restituzione parziale dell importo fraudolentemente sottratto. La società ricorrente deduce infatti che, non appena il bonifico di oltre venne disposto in suo favore, un funzionario della resistente, con una mail addirittura anteriore alla data di accredito del bonifico stesso, aveva richiesto specifiche informazioni alla ricorrente circa la provenienza di detta somma in entrata, probabilmente per le dovute finalità di controllo ai fini antiriciclaggio. Ma se una simile tempestività era stata dispiegata in fase di recupero, ciò significa che la banca doveva e deve essere dotata di sistemi capaci di individuare a priori operazioni astrattamente anomale. Se altrettanto fosse accaduto in fase di disposizione del bonifico, molto probabilmente la banca avrebbe potuto rilevare l anomalia dell operazione (in ragione, come si è detto, dell importo e della residenza del destinatario) e agire di conseguenza. Pare, dunque, potersi concludere che il sistema di monitoraggio adottato dalla banca resistente sia basato su un modello di controllo casuistico e umano anziché automatizzato e sistematico. Il concomitare delle circostanze che precedono induce questo collegio A ritenere che la responsabilità dell accaduto vada interamente ascritta all intermediario resistente, escludendosi dunque la ricorrenza di qualsivoglia colpa grave in capo al cliente (frontiera questa che, insieme ovviamente al dolo, rappresenta il punto di esenzione della responsabilità del prestatore di servizi di pagamento). Per altro verso, la stessa offerta transattiva formulata dalla banca e consistente nell offerta dell intera rifusione del rimanente, offerta, ripetesi, estremamente corretta e responsabile da parte della banca, conferma appieno la ricostruzione operata da questo Arbitro. Dal complessivo importo rimanente deve dedursi la franchigia prevista dalla legge e replicata nel contratto fra le parti pari ad euro 150. Pertanto l intermediario sarà tenuto a restituire alla ricorrente importo di euro ,70. Non appaiono, invece, risarcibili le altre voci di danno invocate da parte ricorrente. Quanto al costo sostenuto per i bonifici effettuati allo sportello invece che on-line, costo quantificato in 649, non può ascriversi alcuna responsabilità alla banca. Se è vero che l articolo 6 comma 4 del cit. d.lgs. 11/2010 prevede un obbligo da parte del prestatore di servizi di pagamento di sostituire il dispositivo bloccato, non è meno vero che tale sostituzione non è stata negata dalla banca: semplicemente non risulta essere stata richiesta dalla ricorrente. Quanto invece al costo di 9760, che la ricorrente afferma di aver sostenuto per adeguare il proprio sistema informatico e per trasferire i propri hard-disk al di fuori dell azienda, trattasi di scelta certamente prudenziale e opportuna da parte della cliente ma non indispensabile ai fini della fruizione del servizio, per cui il Collegio non vede motivo di addebitare il costo natale scelta alla banca resistente. Quanto infine alle spese legali, quantificate in 5709,60, l orientamento dell arbitro è ormai noto. Le Disposizioni della Banca d Italia sui sistemi di risoluzione stragiudiziale delle controversie in materia di servizi bancari e finanziari (in breve Reg. ABF) non contemplano alcuna espressa previsione in merito al rimborso delle spese legali, e ciò in coerenza alla natura alternativa del procedimento instaurabile, e di norma instaurato, senza il ministero di un difensore. Ciò non toglie, tuttavia, che, là dove sia dimostrato che la parte ricorrente si sia avvalsa, nell intero snodo procedimentale che va dal reclamo al ricorso, dell ausilio di un difensore sopportandone il relativo costo, quest ultimo possa e debba prendersi in considerazione, in caso di accoglimento del ricorso che si concluda con l accertamento di un diritto risarcitorio, non già quale autonoma voce di rimborso non prevista dal Reg. ABF, bensì quale componente del più ampio pregiudizio patito dalla parte ricorrente. In tale valutazione, il Collegio giudicante deve naturalmente attenersi a criteri di estrema Pag. 6/7

6 prudenza, che includono l accertamento dell effettivo sostenimento dell onere defensionale, della sua funzionalità alla gestione del procedimento, della ragionevolezza e coerenza dell importo richiesto rispetto al valore e alla complessità della controversia, risultando pertanto l importo di tale componente di pregiudizio stimabile anch esso in via equitativa. A questo riguardo, il Collegio non ritiene che, nel caso specifico, sussistano i presupposti per integrare il risarcimento dovuto alla ricorrente con l importo equivalente al costo dichiaratamente sostenuto per spese legali. Ciò in ragione di almeno tre considerazioni: in primo luogo, la circostanza che la banca resistente avesse già offerto di soddisfare l intera richiesta risarcitoria relativa al bonifico fraudolento escludeva la necessità del ricorso ad un legale; in secondo luogo, tanto il reclamo quanto il ricorso, risultano essere stati presentati direttamente dalla società ricorrente senza dunque nello specifico il diretto intervento del legale; in ultimo luogo, tenuto conto della tipicità della fattispecie e la sua agevole soluzione, l importo esposto non appare congruo rispetto all impegno teoricamente profuso. PER QUESTI MOTIVI Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario corrisponda al ricorrente la somma di ,70. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00, quale contributo alle spese della procedura, e al ricorrente la somma di 20,00, quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 7/7