Decisione N del 08 maggio 2017

Transcript

1 COLLEGIO DI TORINO composto dai signori: (TO) LUCCHINI GUASTALLA (TO) BENEDETTI (TO) COTTERLI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (TO) DALMOTTO Membro designato da Associazione rappresentativa degli intermediari (TO) SCARANO Membro designato da Associazione rappresentativa dei clienti Relatore EMANUELE CESARE LUCCHINI GUASTALLA Nella seduta del 19/04/2017 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO La parte ricorrente, titolare di conto corrente presso l intermediario convenuto, lamenta l esecuzione fraudolenta di una operazione tramite il servizio di home banking per un importo di 4.766,00. Più precisamente, il ricorrente ha dichiarato di essere titolare di una ditta individuale a cui è intestato il conto corrente n. xx710 e di essere cointestatario con il figlio e un terzo soggetto del conto corrente n. xx345. I due conti correnti sono aperti presso due diverse agenzie dell intermediario convenuto; In data , nel controllare la propria posta elettronica, il ricorrente notava una e- mail della propria banca il cui contenuto indicava l apertura di un procedimento sanzionatorio a proprio carico per mancati pagamenti; Il ricorrente ha dichiarato che l risultava legata al conto corrente n. xx710 e che, accedendovi, non notava nessuna comunicazione di rilievo e provvedeva pertanto a chiudere la sessione; Il mattino seguente ( ) riceveva una telefonata dall ufficio frodi dell intermediario con cui gli veniva chiesta conferma dell effettuazione di un bonifico di 4.766,00 sul conto Pag. 2/7

2 corrente cointestato n. xx345. Il ricorrente dava risconto negativo e l ufficio frodi confermava di provvedere immediatamente a bloccare il bonifico; Nel pomeriggio del , il ricorrente sporgeva denuncia per tentativo di truffa subita a mezzo internet presso la questura di Torino dichiarando quanto sopra riportato e segnalando, inoltre, di essersi recato presso la propria agenzia e di aver appreso che, per incapienza del proprio conto n. xx710, l addebito del bonifico era avvenuto sul conto corrente cointestato n. xx345 di cui non disponeva della chiave di accesso. Dichiarava, inoltre, che il figlio cointestatario ha confermato la propria estraneità all operazione. Il ricorrente si recava presso l agenzia in cui è aperto il conto cointestato n. xx345 per consegnare la denuncia, richiedere il blocco e procedere al disconoscimento del suddetto bonifico; Il ricorrente dichiarava, inoltre, che entrambi i conti correnti hanno due password e due chiavette diverse e ben distinte con due codici segreti totalmente diversi e due conti correnti aperti presso due diverse filiali (..). La parte ricorrente ha chiesto al Collegio il recupero della somma di 4.766,00, prelevata in modo fraudolento. Secondo l intermediario, il ricorrente è stato vittima del fenomeno del phishing che, senza violare i sistemi di sicurezza della banca, punta a catturare in modo fraudolento i codici di accesso ai servizi di internet banking dei clienti replicando il sito internet dell intermediario. L intermediario ha sottolineato come sia da tempo in funzione una esaustiva pubblicità sul proprio sito internet, diretta in particolare alla clientela home banking, da cui possano facilmente attingersi le informazioni sulla sicurezza dei servizi internet, sulla protezione del computer e su come difendersi dalle truffe on-line, in particolare dal fenomeno del phishing al quale è dedicata una intera sezione. L intermediario ha dichiarato che il sistema di sicurezza del servizio di internet banking dallo stesso predisposto è un sistema c.d. a più fattori. In particolare, è prevista la consegna al cliente, al momento della sottoscrizione del contratto, di un dispositivo elettronico denominato token e associato univocamente ad un codice di accesso anch esso consegnato al cliente. Tale dispositivo elettronico presenta un display e un tasto fisico. Ad ogni pressione del tasto, viene generato e visualizzato sullo schermo un codice numerico di 6 cifre (password dinamica). Il codice generato dal dispositivo utilizza un algoritmo standard di sicurezza con chiave conosciuta solo dai server del gruppo dell intermediario, presenta una durata limitata ad alcuni secondi, non può essere utilizzato più volte in quanto è annullato immediatamente dopo l utilizzo sul sito e può essere riconosciuto e validato solo dal server della banca che conosce l algoritmo con cui viene creato. Dalle verifiche tecnico-informatiche effettuate risulta che il giorno , alle ore 17.03, veniva effettuato un login con le credenziali del ricorrente dal suo indirizzo IP abituale e subito dopo veniva rilevata una sessione da un diverso indirizzo IP, mai utilizzato in precedenza dal ricorrente, nel corso della quale veniva disposto il bonifico oggetto di contestazione. L operazione veniva confermata dal ricorrente, inserendo sul sito fasullo la relativa OTP (one-time password) utilizzando il proprio token. Alle 17.57, il ricorrente si riconnetteva dal suo indirizzo IP e richiedeva la lista dei movimenti. Nell output era presente il bonifico appena effettuato ma, essendo ormai trascorso l orario di cut-off (17:30), non poteva più essere revocato; Come anche comunicato nel riscontro al reclamo, l intermediario ha dichiarato di essersi immediatamente attivato, senza buon esito, per tentare il recupero del bonifico tramite le procedure interbancarie; Non risultando manomissioni del sistema di sicurezza della banca risalenti al periodo dell operazione, la truffa è stata compiuta grazie all inserimento da parte del ricorrente Pag. 3/7

3 delle proprie credenziali di accesso (userid, PIN e almeno tre codici OTP) su un sito web contraffatto, come anche dimostrato dal file di log. Gli addebiti lamentati dal ricorrente si sono quindi determinati per l imprudente comportamento da questi assunto e l inosservanza delle indicazioni di sicurezza fornite dall intermediario che ha vanificato tutte le cautele poste in essere dalla banca, finalizzate proprio ad impedire/ostacolare quegli stessi comportamenti fraudolenti che il cliente ha anzi agevolato. L intermediario ha chiesto: in via principale, il rigetto del ricorso poiché infondato; in via subordinata, ove il Collegio dovesse ravvisare profili di responsabilità in capo all intermediario, di definire la ripartizione fra le parti del danno in esame, in misura proporzionale alle rispettive effettive responsabilità. DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Tuttavia, prima di passare all esame del merito della questione, è bene ricordare in fatto alcuni aspetti essenziali ai fini della decisione. Le operazioni contestate risalgono ad un periodo successivo all entrata in vigore del D. Lgs n. 11 di recepimento della Direttiva sui servizi di pagamento (Direttiva 2007/64/CE del 13 novembre 2007) e del relativo Provvedimento attuativo della Banca d Italia del L operazione disconosciuta è un bonifico effettuato tramite il servizio internet banking il sul conto corrente n. xx345, cointestato dal ricorrente con il figlio e un terzo soggetto, per l importo di 4.766,00. L intermediario allega agli atti i c.d. log relativi agli accessi effettuati in data in cui risulta l esecuzione dell operazione disconosciuta dal ricorrente. Da tale documentazione si evince sia l accesso al portale del servizio di home banking ( login effettuato con successo-operatività, ore del ) sia l inserimento della c.d. One Time Password (OTP) per l esecuzione dell operazione oggetto di contestazione. Dal testo delle controdeduzioni e dai log prodotti dall intermediario, il sistema di sicurezza predisposto risulta a due fattori, in quanto basato sia su codici di accesso c.d. statici sia su una password usa e getta (OTP generata da un dispositivo token). Con riferimento all informativa alla clientela, l intermediario ha prodotto in atti le videate del proprio sito internet con evidenza della sezione dedicata alle truffe e il foglio informativo dedicato all anti-phishing. Il ricorrente, sia nel reclamo che nel ricorso, fa riferimento al fatto di aver ricevuto una e- mail dalla propria banca che risultava legata al proprio conto corrente. In sede di denuncia e di reclamo, dichiara, inoltre, di aver effettuato in data l accesso al proprio conto on line per controllare le comunicazioni. Dopo aver riscontrato l assenza di comunicazioni rilevanti, dichiara di aver chiuso la sessione. Non risulta in atti copia della e- mail citata nel ricorso. Nella denuncia sporta presso la Questura di Torino, il ricorrente ha dichiarato di non disporre della chiave di accesso al conto corrente cointestato n. xx345 su cui è avvenuto l addebito dell operazione contestata. Dai log forniti dall intermediario risulterebbe, tuttavia, Pag. 4/7

4 l autorizzazione da parte del ricorrente dell operazione di bonifico sul conto corrente cointestato, alle ore 17:18. Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate, considerato che tali regole sono vigenti dal 1 marzo Ora, come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato Pag. 5/7

5 digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Nel caso in esame deve ritenersi che l intermediario resistente abbia adempiuto con la dovuta diligenza ai propri obblighi. Questo ha, infatti, messo a disposizione del cliente un sistema per il compimento di operazioni on line, che è basato sull utilizzo contemporaneo di più fattori, ossia quel tipo di sistema che sia i Collegi territoriali dell ABF sia il Collegio di coordinamento non ha mancato di considerare come (attualmente) il più sicuro e tale da assicurare la migliore tutela degli utilizzatori in base all attuale stato della tecnica, anche se giova ricordarlo non esistono strumenti totalmente sicuri [cfr., sul punto, la Premessa all allegato tecnico ( Tipologie di strumenti di più elevata qualità sotto il profilo della sicurezza ) al Provvedimento Banca d Italia dell Diritti e Obblighi delle parti (di attuazione del titolo II del D.lgs. n. 11/2010 relativo ai servizi di pagamento), ove si legge che gli strumenti qualificati come a maggior sicurezza non vanno intesi come mezzi intrinsecamente sicuri, cioè privi di rischio, ma come strumenti che presentano un livello di rischio connesso con frodi o disconoscimenti inferiore rispetto agli altri strumenti di pagamento alla luce dell evoluzione tecnologica ]. Dal tipo di sistema di protezione adottato discende la presunzione certamente grave e rilevante che il cliente non abbia compiutamente custodito i dispositivi personali necessari per l utilizzo del sistema di pagamento. Ebbene, nell ipotesi ora descritta pare dover essere esclusa la responsabilità dell intermediario, dovendo il fatto ascriversi a colpa grave dell utilizzatore ricorrente. Non può, infatti, non rilevarsi che il fatto che il ricorrente abbia risposto ad una di phishing (pratica tanto diffusa quanto ormai certamente nota alla clientela bancaria), probabilmente inserendo una serie di dati completa e tale da permettere di compiere operazioni fraudolente, integra pienamente gli elementi in fatto per poter riconoscere una colpa grave, con conseguente esclusione dell applicabilità della limitazione di responsabilità prevista dalla più recente normativa in materia. Dalle osservazioni che precedono, infatti, consegue necessariamente che il Collegio pur prendendo atto della natura fraudolenta dell operazione in questione non può esimersi dal rilevare che il comportamento dell utilizzatore appare connotato da una negligenza che si presenta rilevante, tale da poterla qualificare alla stregua della colpa grave. In tal caso, com è noto, la colpa grave dell utilizzatore esclude la responsabilità dell intermediario ai sensi degli artt. 7, comma 2 e 12, comma 3, del D. Lgs. N. 11/2010. Il Collegio non accoglie il ricorso. P.Q.M. Pag. 6/7

6 IL PRESIDENTE firma 1 Pag. 7/7