[Estensore] Avv. Michele Maccarone Membro designato dal Conciliatore Bancario e Finanziario

Transcript

1 IL COLLEGIO DI ROMA composto dai Signori: Dott. Giuseppe Marziale Presidente Avv. Bruno De Carolis Avv. Alessandro Leproux Membro designato dalla Banca d'italia [Estensore] Membro designato dalla Banca d'italia Avv. Michele Maccarone Membro designato dal Conciliatore Bancario e Finanziario Prof. Avv. Maddalena Rabitti Membro designato dal C.N.C.U. nella seduta del 21/06/2013 dopo aver esaminato: il ricorso e la documentazione allegata; le controdeduzioni dell intermediario e la relativa documentazione; la relazione istruttoria della Segreteria tecnica, FATTO La ricorrente rinvia al proprio reclamo del 6/8/12 per la ricostruzione dei fatti e la scansione cronologica degli eventi, come di seguito riportati. In data , alle 20:45, riceveva una mail apparentemente proveniente dall intermediario, con cui le veniva richiesto di effettuare dei controlli di sicurezza ai propri codici d accesso attraverso il link ivi indicato. Dopo aver seguito la procedura ed inserito i codici personali, il sistema le indicava un errore nell inserimento degli stessi, pertanto la ricorrente, dopo avere riprovato invano una seconda volta, decideva di recarsi in banca il giorno dopo per verificare l accaduto. Il giorno successivo, alle 9:30, un operatore della banca le comunicava telefonicamente l accertamento di una intrusione nel suo conto, con indebita sottrazione di due somme di denaro corrispondenti, rispettivamente, a 2.000,00 e 3.000,00. Pag. 2/6

2 Apprendeva che le somme prelevate erano state accreditate, attraverso due ricariche on line, su una carta prepagata appartenente a soggetto terzo. Presentava prontamente denuncia alla stazione dei Carabinieri e poi si recava nella filiale della banca per verificare l accaduto; un impiegata della banca le confermava che le somme erano ormai state sottratte dal conto e, come tali, non potevano essere restituite se non prima di opportune indagini sulle operazioni stesse, pertanto, la invitava a pazientare rassicurandola sul fatto che la banca l avrebbe risarcita. In data , l intermediario rigettava la sua richiesta di risarcimento asserendo che le disposizioni erano state impartite attraverso l utilizzo dei corretti codici di accesso al servizio banca a distanza, da imputarsi ad un acquisizione illegittima degli stessi da parte di terzi per colpa della ricorrente e confermando la mancata violazione del sistema informatico. Fa presente altresì che: a) il numero della carta prepagata beneficiaria degli accrediti fraudolenti comunicatogli dall impiegato della banca con telefonata del (carta n ) differisce da quello poco più tardi comunicatole personalmente da una dipendente della banca stessa (carta n ) (in effetti, le due operazioni fraudolente di ricarica andate a buon fine risultano effettuate sulla carta prepagata n , mentre una terza operazione a favore della carta n non è stata completata. b) Durante il colloquio con l impiegata della banca, la ricorrente è venuta a conoscenza del nome della persona intestataria della carta, la quale, pur ricercata a seguito della denuncia, si è resa latitante. c) Quando la sera del ha aperto la mail (apparentemente) della banca che le chiedeva di digitare i propri codici per verificarne la sicurezza, la ricorrente ha digitato unicamente il codice utente e la password ma non il codice OTP della chiavetta O-key che è necessario per entrare nel conto e disporre qualsiasi operazione. Alla luce di quanto esposto, la ricorrente ritiene che, se è vero che lei stessa ha fornito ai truffatori i suoi codici di accesso, è vero altresì che la sicurezza della banca è stata violata manomettendo il sistema O-key, configurandosi quindi un inadempimento contrattuale della stessa. Pertanto chiede che l ABF voglia ordinare alla banca il rimborso dell importo di 5.000,00 pari alla somma fraudolentemente sottrattale. Pag. 3/6

3 Nelle sue controdeduzioni, l intermediario, dopo aver ripercorso i fatti esposti dalla ricorrente, fa presente che: 1) le risultanze informatiche confermano che le operazioni contestate sono state disposte previa identificazione dell utente attraverso l inserimento del codice titolare, del codice PIN e della one time password (OTP) prodotta dal dispositivo O-key; 2) nel caso in esame, risultano altresì prodotti dal sistema ulteriori codici, denominati OTS, e, pertanto, appare evidente la responsabilità della cliente in ordine alle operazioni disconosciute, per l utilizzo di tutti i possibili codici identificativi (cfr. la tracciatura delle operazioni internet all. 4 alle controdeduzioni, riportato supra); 3) i malfattori, tramite le credenziali fornite dalla cliente, avevano provveduto anche a riconfigurarne il profilo, modificando il numero di cellulare per poter intercettare gli ulteriori codici OTS eventualmente prodotti dal sistema. 4) Sul punto, l intermediario precisa che la ricorrente avrebbe confermato al personale della filiale competente di aver ricevuto, in data , un sms da parte della banca che le comunicava la variazione del numero di cellulare per la ricezione dei codici di sicurezza dispositivi, senza nulla obiettare. 5) La banca resistente fa notare, altresì, che alle ore del i malfattori avevano effettuato un primo tentativo di frode, mediante ricarica di un altra carta prepagata intestata allo stesso soggetto, poi non andata a buon fine per il mancato inserimento del codice OTP (che poi si sono preoccupati di ottenere cfr. all. 4 e 5, riportati supra -) e che questo dato confermerebbe la sicurezza del sistema a più fattori adottato dalla banca stessa a tutela dei propri clienti. 6) Infine sottolinea che la ricorrente è stata vittima di frode informatica meglio conosciuta come phishing e che, vista la grande frequenza di tali frodi, ha da tempo attivato una esaustiva pubblicità informativa sui siti operativi destinati alla propria clientela. 7) Ne deriva che il successo delle attività truffaldine in parola è reso possibile dalla negligenza dei clienti. Dopo avere evidenziato l efficacia dei presidi di sicurezza adottati per l operatività on line, la resistente fa riferimento ad alcune decisioni dell ABF nelle quali, in presenza di dispositivi personalizzati a presidio degli strumenti di pagamento, verrebbe meno ogni possibile presunzione di colpevolezza dell intermediario e diviene più rigorosa la valutazione dell obbligo di diligenza dell utilizzatore nel custodire i dispositivi di identificazione che l intermediario gli fornisce. Pag. 4/6

4 In conclusione, la banca ritiene che non possa esserle imputata alcuna responsabilità, poiché l acquisizione dei codici di sicurezza da parte di terzi non è avvenuta per carenze del sistema informatico, ma per la condotta gravemente colposa della ricorrente. Pertanto, chiede che il ricorso sia respinto. DIRITTO Nell esame della questione rimessa al Collegio assume rilievo centrale la valutazione della rilevanza che, alla luce del complesso di circostanze che caratterizzano lo svolgimento dei fatti, deve essere attribuita al comportamento della ricorrente, la quale ha riconosciuto di essere incorsa nel c.d. phishing. Infatti, ha dichiarato di aver risposto a una mail, apparentemente proveniente dalla banca convenuta, nella quale le veniva richiesto di collegarsi ad un link, con conseguente necessaria indicazione delle sue credenziali riservate di accesso al conto on line. La dichiarazione della ricorrente, assume un carattere confessorio, in quanto evidenzia un comportamento non conforme al dovere, posto dalla legge a carico del titolare del conto (cioè, dell utilizzatore), di custodire con debita diligenza le credenziali riservate e in particolare di utilizzare lo strumento di pagamento in conformità con i termini, esplicitati nel contratto quadro, che ne regolano l'emissione e l'uso (art.7 del decreto legislativo n.11/2010). Ma giusta la premessa, non può non attribuirsi rilievo di pari livello, in considerazione del principio di inscindibilità sancito dall art c.c., alla precisazione, fatta dalla medesima ricorrente, di non aver fornito, agli autori dell illecito il codice OTP rendendo quindi incompleta l informazione incautamente fornita. Tale circostanza appare infatti indirettamente confermata dallo stesso intermediario, il quale, nelle sue controdeduzioni, afferma: Si deve precisare che alle ore del i malversatori avevano effettuato un primo tentativo di ricaricare un altra carta Superflash, intestata allo stesso soggetto, per euro 3.000,00, ma tale infruttuoso tentativo non è andato a buon fine per il mancato inserimento del codice OTP. Tale affermazione lascia infatti ragionevolmente supporre che effettivamente tale codice non era stato inserito dalla ricorrente nella mail di risposta e che tale codice di accesso sia stato acquisito per altra via dal terzo che ha indebitamente effettuato le operazioni contestate. Non è quindi possibile ravvisare nel comportamento della ricorrente gli estremi della colpa grave, [da intendersi, vale ripeterlo ancora una volta, quale straordinaria ed inescusabile imprudenza, negligenza od imperizia e, dunque, come violazione, non solo della diligenza media del buon padre di famiglia - vale a dire di una persona di media Pag. 5/6

5 avvedutezza e accortezza, consapevole dei propri impegni e delle relative responsabilità (Cass., 18 maggio 2009, n ), ma anche di quel grado minimo ed elementare di diligenza generalmente osservato da tutti (Cass., 3 maggio 2011, n. 913; 19 novembre 2001, n ), e, quindi, anche dalle persone ordinariamente trascurate (ABF. dec. n del 2012)], necessaria, ai sensi dell art. 12 del citato d.lgs. n. 11/10 perché possa essere posta a suo carico la perdita derivante dall uso indebito dello strumento di pagamento. Tanto più che, come dichiara la resistente, nel caso di specie erano stati rilasciati dal sistema i c.d. codici OTS, cioè come spiega lo stesso intermediario - i codici di conferma, inviati sul cellulare dei clienti in presenza di operazioni per le quali il sistema rileva indici di anomalia. In tali casi, precisa la convenuta, si richiede al cliente di confermare le disposizioni ove dallo stesso impartite, con l ulteriore inserimento del codice OTS trasmesso. Senonché, nella fattispecie, gli autori dell illecito avevano indicato alla banca un diverso numero di cellulare, simulando la variazione dello stesso all insaputa della ricorrente, e la banca, preso atto di questa comunicazione, si sarebbe limitata ad inviare un sms alla ricorrente recante tale indicazione. In sostanza, non avvedendosi, come sarebbe stato lecito attenendersi, del carattere vistosamente sospetto della comunicazione pervenuta dall esterno di modifica del numero di cellulare cui erano destinati i codici OTS. Pertanto, il Collegio ritiene che il ricorso meriti accoglimento e per l effetto dispone che l intermediario convenuto rimborsi alla ricorrente l importo di 5.000,00, al netto della franchigia di 150,00. P.Q.M. Il Collegio accoglie parzialmente il ricorso nei sensi di cui in motivazione. Dispone inoltre che l intermediario corrisponda alla Banca d Italia la somma di Euro 200,00 (duecento/00) quale contributo alle spese della procedura e al ricorrente di Euro 20,00 (venti/00) quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6