Decisione N del 15 novembre 2016

Transcript

1 COLLEGIO DI NAPOLI composto dai signori: (NA) MARINARI (NA) CARRIERO (NA) SANTAGATA DE CASTRO Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (NA) SICA Membro designato da Associazione rappresentativa degli intermediari (NA) CAMPOBASSO Membro designato da Associazione rappresentativa dei clienti Relatore MARIO CAMPOBASSO Nella seduta del 13/09/2016 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO La ricorrente - titolare presso la banca resistente di un conto corrente afferma di aver disposto tramite canale telematico di home banking, in data , un ordine di bonifico, ma di avere appurato che la transazione è stata eseguita a favore di una terza persona sconosciuta. Pertanto ha dovuto ripetere il pagamento all effettivo destinatario. La ricorrente afferma che la responsabilità per l accaduto non può che gravare sull intermediario, trattandosi di inesatta esecuzione dell ordine di pagamento impartito dal cliente; anche a voler ritenere la vicenda riconducibile a frode informatica, la responsabilità dell accaduto non sarebbe del cliente, poiché i codici di accesso alla Banca on line non sono mai stati smarriti, il relativo dispositivo è in possesso della legittima titolare e non si sono verificati episodi simili che possano far pensare a una frode informatica. Sulla base di ciò, chiede il risarcimento dei danni nella misura di 1,242,06 oltre interessi e rivalutazione, nonché il rimborso delle spese legali. Pag. 2/6

2 L intermediario replica con le controdeduzioni affermando che nel caso di specie il cliente ha effettuato l accesso al sito internet inserendo tutti i codici richiesti e confermando l esecuzione del bonifico e non risultano manomissioni del sistema della banca risalenti al periodo considerato; il sistema di sicurezza adottato per le transazioni della specie è a più fattori e si avvale dell impiego di un token consegnato al cliente al momento della sottoscrizione del contratto che consente di generare, di volta in volta, una nuova password per confermare le operazioni (password OTP) e successivamente viene comunicata al cliente, tramite SMS, un ulteriore password (password OTS). Osserva ancora che il ricorrente non ha denunciato la truffa subita alle Autorità competenti; ed inoltre è da tempo in funzione una esaustiva pubblicità informatica sul sito internet della banca su come difendersi dalle truffe on-line. L intermediario chiede pertanto all Arbitro di rigettare la domanda del ricorrente o in subordine di accertare il concorso di colpa dell utente e ripartire di conseguenza il danno tra le parti anche ai sensi dell art c.c. in proporzione alle rispettive responsabilità. DIRITTO La vicenda sottoposta all Arbitro concerne l esecuzione di un bonifico a favore di un beneficiario diverso da quello indicato nell ordine di pagamento. Dalla documentazione depositata dal ricorrente risulta che l operazione di bonifico contestata è stata correttamente disposta a favore dell ente - effettivo beneficiario, come da evidenza contabile prodotta dal ricorrente e non disconosciuta dall intermediario. Dalla documentazione fornita dall intermediario risulta invece che l ordine ricevuto dalla banca tramite canali telematici indicava come beneficiario il soggetto a favore del quale è stata eseguita l operazione; la disposizione risulta essere stata perfezionata mediante inserimento di tutti i codici di autenticazione in possesso del cliente (userid, pin, otp, ots); il sistema informatico dell intermediario non mostra aver subito infrazioni; le procedure home banking dell intermediario prevedono un sistema di autenticazione a due fattori, in linea con i migliori standard di sicurezza disponibili. È dunque possibile è lo stesso intermediario convenuto a prospettarlo che la differenza fra l ordine che il cliente ha creduto di impartire tramite home banking e l ordine effettivamente ricevuto dall intermediario sia dovuta ad una frode informatica perpetrata mediante un virus o un malware impiantato sul computer del cliente. In sintesi, per effetto di questi software malevoli il cliente crede di collegarsi al sito dell intermediario e di realizzare una disposizione di home banking, ma in realtà sta operando su un sito civetta Pag. 3/6

3 gestito dal truffatore ed in questo modo involontariamente consegna i codici di identificazione alla rete criminale, che ne approfitta per poter disporre bonifici non autorizzati. La questione è regolata dal d.lgs n. 11, il quale, da un lato, impone agli intermediari, nella loro qualità di prestatori di servizi di pagamento, specifici obblighi di precauzione, primo fra tutti l obbligo di garantire l inaccessibilità dei dispositivi di pagamento a soggetti non autorizzati, e, dall altro lato, istituisce un regime di speciale protezione e di altrettanto speciale favor probatorio a beneficio degli utilizzatori. Regime e favor che si sostanziano nei seguenti principi: a) in caso di disconoscimento di un operazione di pagamento, è onere dell intermediario dimostrare che l operazione sia stata correttamente autenticata, registrata e contabilizzata e che la sua patologia non si debba a malfunzionamenti delle procedure esecutive o ad altri inconvenienti del sistema; b) l apparentemente corretta autenticazione non è necessariamente sufficiente a dimostrarne la riconducibilità all utilizzatore che la disconosca; c) la responsabilità dell utilizzatore resta dunque circoscritta ai casi di comportamento fraudolento del medesimo ovvero al suo doloso o gravemente colposo inadempimento agli obblighi che l art. 7 del decreto pone a suo carico e che poi si limitano all utilizzazione dello strumento di pagamento in conformità ai patti contenuti nell accordo quadro che regola il servizio e alla tempestiva denuncia di furto, smarrimento, distruzione o altro uso non autorizzato dello strumento. Ove una simile responsabilità non possa affermarsi, l utilizzatore non sopporta le conseguenze dell uso fraudolento, o comunque non autorizzato, del mezzo di pagamento se non nei limiti, eventualmente stabiliti dall intermediario, di una franchigia non superiore a 150 euro (art. 12, commi 1 e 3 d. lgs. cit.). Dall esame dei documenti e dei log prodotti dall intermediario, il Collegio ritiene adeguatamente provato che il sistema informatico dell intermediario sia rimasto integro ed abbia correttamente funzionato. Si tratta dunque di valutare se il comportamento del cliente presenti profili di colpa grave. Al riguardo occorre premettere che, secondo l orientamento espresso dal Collegio di coordinamento (decisione n. 3498/12), non può automaticamente ravvisarsi una colpa grave nel solo fatto di cadere vittima di una truffa informatica realizzata tramite un malware del tipo verosimilmente impiegato nel caso di specie. La difficoltà di distinguere il sito civetta del truffatore dal sito originale dell intermediario (talvolta distinguibili solo per il Pag. 4/6

4 riferimento nella stringa dell indirizzo http invece che con https caratteristico dei collegamenti tramite protocollo prottetto), la particolare insidiosità del raggiro, giustificano la protezione della buona fede del cliente. Tanto anche al fine di indurre gli intermediari ad adottare sistemi di protezione informatica sempre più avanzati. Tanto precisato, tuttavia, non può trascurarsi che nel caso di specie l operazione disconosciuta era stata autenticata anche tramite codice OTS, probabilmente perché identificata come sospetta dal sistema antifrode dell intermediario; infatti era stata richiesta l ulteriore conferma con inserimento del codice OTS ricevuto via SMS. A tal fine è stato inviato al cellulare del ricorrente un messaggio del seguente tenore [denominazione dell intermediario]: per completare il bonifico europeo [ ] a favore di [nome del terzo estraneo a favore del quale è stato effettuato il bonifico] inserire il Codice SMS con il codice OTS necessario per concludere l operazione. Anche ipotizzando pertanto che il cliente fosse stato vittima di una frode informatica tramite malware, dal suindicato messaggio SMS ben avrebbe potuto rendersi conto che l operazione veniva realizzata a favore di un beneficiario diverso da quello desiderato; aver inserito ciò nonostante il codice OTS per concluderla costituisce una leggerezza inescusabile. In definitiva, alla luce delle caratteristiche del caso concreto, l adozione di un sistema a due fattori induce a ritenere, in assenza di ulteriori indici di anomalia dell operazione, da un lato, che la banca abbia assolto all onere di provare l adempimento degli obblighi su di essa gravanti ai sensi dell art. 8 del D.lgs. n. 11/2010 e, dall altro lato, che il cliente si sia reso gravemente inadempiente all obbligo di custodia e corretto impiego degli strumenti e dei codici di accesso che consentono l utilizzo del servizio online e l invio di ordini di bonifico a valere sul conto a lui intestato. Alla luce delle caratteristiche tecniche di sicurezza adottate dall intermediario sembra dunque lecito presumere che l operazione fraudolenta di cui si discute sia stata resa possibile da un comportamento inadempiente della ricorrente, che ha omesso di adottare tutte le cautele necessarie a custodire e o usare con diligenza i codici di accesso e i dispositivi connessi. Il Collegio non accoglie il ricorso. P.Q.M. IL PRESIDENTE Pag. 5/6

5 firma 1 Pag. 6/6