COLLEGIO DI MILANO. Membro designato dalla Banca d'italia. Membro di designazione rappresentativa. dei clienti FATTO

Transcript

1 COLLEGIO DI MILANO composto dai signori: (MI) LAPERTOSA (MI) STELLA (MI) BONGINI (MI) FERRETTI (MI) GRIPPO Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia Membro di designazione rappresentativa degli intermediari Membro di designazione rappresentativa dei clienti Relatore ESTERNI - STELLA GIOVANNI Seduta del 12/03/2019 FATTO La parte ricorrente contesta due addebiti sul conto corrente per operazioni non autorizzate. Chiede nei confronti dell intermediario il reintegro delle somme. In particolare, con il ricorso il ricorrente rappresenta che: - in data , controllando il proprio conto corrente, si accorgeva di due ricariche mai effettuate verso due diverse carte Postepay. La prima per un importo di 600,00 euro e l'altra per un importo di 250,00 euro; - le operazioni erano state effettuate a distanza di circa 10 minuti l una dall altra; - si è recato presso l ufficio postale con la denuncia presentata ai Carabinieri espletando tutte le pratiche per il disconoscimento delle operazioni. Ciò esposto, il ricorrente chiede nei confronti dell intermediario che gli venga restituita la somma di 850,00. Con le controdeduzioni l intermediario espone che dalle risultanze delle registrazioni del numero verde e da quelle degli applicativi informatici preposti emerge quanto segue: - alle ore 11:53 del 30/11/2017, tramite il servizio di home-banking, veniva eseguita una ricarica di carta prepagata del valore di 601,00 con addebito sul conto n. ITXXX7362 intestato al cliente; - alle ore 12:07 seguiva una seconda ricarica del valore di 251,00 in favore di altra carta prepagata utilizzando il medesimo canale di home-banking (cfr. all.ti controdeduzioni); Pag. 2/6

2 - il cliente contattava l intermediario tramite Facebook, veniva quindi ricontattato dal servizio di assistenza alle ore 17:00 e gli venivano fornite informazioni utili nonché il numero telefonico al quale richiedere il blocco della carta Bancoposta n. XXX8612 associata al conto corrente (cfr. all.ti controdeduzioni); - alle ore 17:21 la carta veniva bloccata tramite il numero verde dedicato (cfr. all.ti controdeduzioni); - in data 01/12/2017 il cliente presentava denuncia dell accaduto all A.G. e reclamo per il disconoscimento delle operazioni presso l Ufficio Postale di Monteforte D Alpone (VR); - la carta legata al conto non è una carta postepay, ossia una prepagata, come dichiarato dal cliente nella denuncia, ma una carta Bancoposta emessa a valere sul conto; - nella denuncia presentata in data 01/12/2018, il cliente riferisce che il giorno delle due ricariche in frode, egli stava visionando on-line il proprio conto intorno alle ore 12:00. La prima ricarica avviene alle ore 11:53 e la seconda alle ore 12:07. Appare dunque pacifico che, nel momento in cui è avvenuta la frode, il cliente stava utilizzando il servizio di homebanking, secondo quanto dichiarato, solo per funzioni consultative e non dispositive; - le operazioni contestate risultano disposte da soggetto autenticatosi come legittimo titolare, mediante il corretto inserimento di tutta quella serie di riconoscimenti informatici indispensabili per l esecuzione di operazioni di home-banking (user id del titolare; password; utilizzo del primo codice univoco usa-e-getta proposto da sistema - ID Operazione - che deve essere digitato sul lettore bancoposta (PCR); corretto utilizzo del PCR possibile solo se si è in possesso della carta Bancoposta legata al conto; utilizzo del PIN della carta; digitazione del secondo codice univoco usa-e-getta - codice risposta - fornito dal PCR e da introdurre nell apposito campo della schermata della piattaforma web mentre si esegue la transazione on line e senza il quale la disposizione non può terminare); - l intermediario ha dato corso alle disposizioni di ricarica perché entrambe sono risultate regolarmente autorizzate attraverso la corretta esecuzione delle attività previste dal sistema di securizzazione delle operazioni on line basato sull utilizzo contemporaneo di più fattori, il più sicuro per garantire la tutela degli utilizzatori in base all attuale stato della tecnica; - non avendo ricevuto segnalazioni di smarrimento o furto dei codici personali, in osservanza delle regole contrattuali, l intermediario era obbligato ad autorizzare il trasferimento; - sebbene non ammesso dal cliente, le due ricariche sono avvenute solo ed esclusivamente perché egli ha preso il lettore PCR e ha percorso tutto l iter di autenticazione previsto del servizio di home-banking, utilizzando i codici univoci ottenuti dal sistema a doppio fattore rilasciati dall uso combinato del Lettore PCR con la carta a microchip; - non vi è dubbio che sia stato proprio il cliente ad avere materialmente consentito l esecuzione delle disposizioni in parola, contribuendo seppur involontariamente alla realizzazione delle stesse. In siffatta circostanza, emerge chiaramente che il cliente sia stato vittima di qualche forma di phishing ormai comunemente nota anche ad un utilizzatore non esperto; - nei paragrafi del manuale dall'uno al quattro viene descritta la procedura tramite la quale è stata autorizzata la disposizione e seguita dal ricorrente passo dopo passo il giorno della frode (cfr. all.ti controdeduzioni); - il D.lgs. 11/2010 pone chiaramente a carico dei clienti l obbligo di diligente custodia dei dispositivi personalizzati legati all utilizzo dello strumento di pagamento e dalle risultanze elettroniche emerge che il cliente non ha osservato gli obblighi contrattuali di corretta custodia dei propri codici identificativi. Si ritiene, pertanto, che lo stesso sia incorso nella Pag. 3/6

3 violazione degli obblighi prescritti dall art. 7 del D.lgs. 11/2010, ravvisandosi così la colpa grave ai sensi dell articolo 12 commi 3 e 4 del predetto decreto; - il Collegio di Coordinamento ABF (decisione n. 3498/12) ha distinto nettamente le truffe nelle quali la captatio avviene attraverso meccanismi subdoli ed insidiosi da quelle che avvengono mediante metodi ormai noti alla clientela; - nel caso in esame la ricostruzione esclude che la fattispecie possa essere ricondotta a quella di natura più sofisticata ed insidiosa di innesto di un malware durante l esecuzione di un operazione genuina effettuata dal vero titolare dello strumento di pagamento, per cui il cliente, in buona fede, credendo di eseguire una sua transazione, in realtà inserisce i propri dati in una maschera del tutto simile alla pagina web originale dell intermediario, permettendo così al frodatore di effettuare nel medesimo istante un operazione truffaldina a suo piacimento. L intermediario fa ancora presente, per completezza di informazione, che: - la somma della ricarica di 601,00, in favore della carta prepagata n. XXX4411, eseguita alle ore 11:53 tramite canale BPOL, è stata interamente prelevata dal beneficiario alle ore 12:02 (cfr. all.ti controdeduzioni); - la ricarica di 251,00, in favore della carta prepagata n. XXX2100, eseguita alle ore 12:07, sempre tramite canale BPOL, è stata invece interamente recuperata e riaccreditata sul conto del cliente (cfr. all.ti controdeduzioni). Conclusivamente l intermediario assume che l imprudenza del ricorrente nella custodia dei codici personali integra gli estremi della colpa grave nel comportamento del cliente e ai sensi dell art. 1227, comma 2, c.c., il risarcimento non è dovuto per i danni che il creditore avrebbe potuto evitare usando l ordinaria diligenza. Con le conclusioni l intermediario chiede di rigettare il ricorso, considerato il comportamento tenuto dal cliente ed escludendo ogni responsabilità a suo carico, anche valutato l impegno profuso per il recupero delle somme. Nelle repliche il ricorrente lamenta la mancata attivazione del servizio di sms alert, non ancora funzionante nonostante i ripetuti solleciti, e insiste nel richiedere la restituzione anche della somma di 601,00 addebitata a fronte della prima ricarica e non restituita dall intermediario. DIRITTO Si premette che con il ricorso il ricorrente ha chiesto il rimborso di 850,00; a seguito delle controdeduzioni con cui l intermediario ha precisato che la ricarica di 251,00, in favore della carta prepagata n. XXX2100 è stata interamente recuperata e riaccreditata sul conto del cliente, il cliente ha precisato che la somma di cui chiede il rimborso è pari a 601,00, per l addebito di una ricarica effettuata verso una carta Poste pay avvenuta il , alle ore L operazione contestata è stata effettuata il 30/11/2017; a detta data era vigente il D.lgs. 27 gennaio 2010, n. 11 di attuazione della direttiva 2007/64/CE (PSD). A sostegno della propria istanza di rimborso, il cliente ha prodotto la documentazione contabile attestante l addebito del predetto importo e il modulo di disconoscimento dell operazione. La denuncia all A.G. è stata effettuata il giorno 01/12/2017 alle ore L intermediario eccepisce la legittimità delle operazioni contestate che, in base alle evidenze informatiche, risulterebbero disposte da soggetto autenticatosi come legittimo titolare mediante il corretto inserimento di tutta quella serie di riconoscimenti informatici indispensabili per l esecuzione di operazioni di home-banking (sarebbe stato quindi Pag. 4/6

4 adottato un sistema di securizzazione delle operazioni on line basato sull utilizzo contemporaneo di più fattori). Ciò premesso, il Collegio osserva che la disciplina contenuta nel D. Lgs. n. 11 del 2010 prevede (art. 10) in capo al prestatore di servizi di pagamento l onere di provare che l operazione di pagamento, disconosciuta dall utente, sia stata autenticata, correttamente registrata e contabilizzata e che la sua esecuzione non si debba a malfunzionamenti delle procedure esecutive o ad altri inconvenienti del sistema. Di seguito, all'art. 12, pone a carico del prestatore di servizi di pagamento le perdite derivanti dall'utilizzo dello strumento smarrito, sottratto o utilizzato indebitamente, intervenuto dopo la comunicazione di smarrimento o furto prevista dall'art. 7, comma 1, lett. b), del citato decreto legislativo. Lo stesso art. 12 poi, al comma terzo, nel prevedere la franchigia di 150,00 entro la quale l'utilizzatore può essere tenuto a sopportare la perdita prima della comunicazione prima citata, fa salva l'ipotesi in cui l'utente abbia con dolo o colpa grave violato l obbligo di adottare le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l'utilizzo dello strumento di pagamento. Sulla base della normativa sopra riportata si desume che, in primo luogo è l intermediario a dover provare, oltre all insussistenza di malfunzionamenti, l autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute. In secondo luogo, è sempre l intermediario a dover provare tutti i fatti idonei ad integrare la colpa grave dell utilizzatore, unica ipotesi - oltre al dolo - in cui quest ultimo può sopportare le conseguenze dell utilizzo fraudolento dello strumento di pagamento. Alla stregua di quanto sopra il Collegio rileva che nel caso di specie l intermediario ha prodotto documentazione da cui risulta: - il dettaglio dei movimenti contabili relativi alle operazioni contestate (in particolare, alle ore 11:53 del 30/11/2017, tramite il servizio di home-banking, è stata eseguita una ricarica di carta prepagata del valore di 601,00 con addebito sul conto n. ITXXX7362 intestato al cliente); - la circostanza che il cliente ha contattato l intermediario tramite Facebook, ed è stato quindi ricontattato dal servizio di assistenza alle ore 17:00 che gli ha forniti informazioni sulle operazioni fraudolente nonché il numero telefonico al quale richiedere il blocco della carta Bancoposta n. XXX8612 associata al conto corrente; - il blocco della carta alle ore 17:21 tramite il numero verde dedicato; - le istruzioni, in generale, per la procedura di autorizzazione delle operazioni home banking tramite il lettore BancoPosta ; - la circostanza che la somma rinveniente dalla ricarica di. 601,00 in favore della carta prepagata n. XXX4411 eseguita alle ore 11:53 tramite canale BPOL è stata interamente prelevata dal beneficiario alle ore 12:02; - la circostanza che la somma rinveniente dalla ricarica di. 251,00 in favore della carta prepagata n. XXX2100, eseguita alle ore 12:07, sempre tramite canale BPOL, è stata interamente recuperata e riaccreditata sul conto del cliente. Per quanto concerne la prova dell autenticazione delle operazioni contestate richiesta dall art. 10, comma 1, D. Lgs n. 11, dalla documentazione fornita dall intermediario risulta soltanto che le operazioni disconosciute sono state disposte dal servizio di home banking (c.d. BPOL bancoposta on line ), ma non che le operazioni siano state correttamente autenticate (log con richiesta autorizzativa registrata dai sistemi). A quanto sopra si aggiunga che l intermediario non ha neppure provato specificamente di avere adottato un sistema di sicurezza c.d. a due fattori, che preveda per l esecuzione della disposizione di pagamento, oltre all inserimento delle credenziali statiche della carta, l utilizzo di una password dinamica (OTP) ricevuta su un dispositivo mobile. Sul punto, come si è visto, l intermediario si è limitato a produrre un documento generico attestante le Pag. 5/6

5 istruzioni per la procedura di autorizzazione di tutte le operazioni home banking (da eseguirsi tramite un personal card reader ossia un lettore in grado di generare la password monouso necessaria per il completamento dell operazione a seguito dell inserimento della carta originale, di un primo codice fornito dall intermediario stesso e del pin associato alla carta), senza però alcun riferimento specifico all operazione oggetto di contestazione. Secondo l orientamento consolidato del Collegio di Milano (cfr. Coll. di Milano, n. 682/16, n. 6339/2016), l omessa produzione, da parte dell intermediario, di documentazione attestante la corretta autenticazione ed esecuzione delle operazioni, comporta l imputazione all intermediario delle perdite derivanti dall'utilizzo dello strumento utilizzato indebitamente, senza necessità di accedere alla valutazione della colpa grave in capo al ricorrente circa la mancata corretta custodia delle proprie credenziali. Ritiene, pertanto, il Collegio che per l operazione disconosciuta (per un ammontare di 601,00) la domanda della ricorrente debba essere accolta integralmente, senza applicazione della franchigia di 150,00 prevista dalla legge (cfr. Coll. Milano, nn. 2516/2016; 2532/16, 1702/16, 947/16, nel senso che in caso di mancata produzione da parte dell intermediario di documentazione idonea a dimostrare la corretta e regolare autenticazione della transazione contestata, il rimborso deve essere integrale senza applicazione della c.d. franchigia). PER QUESTI MOTIVI Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario corrisponda alla parte ricorrente la somma di 601,00. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00, quale contributo alle spese della procedura, e alla parte ricorrente la somma di 20,00, quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE firma 1 Pag. 6/6