COLLEGIO DI MILANO composto dai signori: (MI) GAMBARO (MI) LUCCHINI GUASTALLA (MI) ORLANDI Presidente Membro designato dalla Banca d'italia Membro designato dalla Banca d'italia (MI) SANTORO Membro designato da Associazione rappresentativa degli intermediari (MI) PERICU Membro designato da Associazione rappresentativa dei clienti Relatore LUCCHINI GUASTALLA Nella seduta del 13/06/2013 dopo aver esaminato: - il ricorso e la documentazione allegata - le controdeduzioni dell intermediario e la relativa documentazione - la relazione della Segreteria tecnica FATTO La controversia verte sul mancato rimborso da parte dell intermediario dell importo di 6.842,33 relativo a una disposizione di bonifico estero disconosciuta dalla ricorrente, effettuata mediante home banking con sistema di sicurezza a due fattori. Anzitutto appare utile riassumere brevemente di seguito la vicenda come descritta nella documentazione di parte attrice - che ha dato origine al contenzioso in esame: 1. tra la ricorrente e l intermediario resistente intercorre un contratto di conto corrente, al quale è associata la facoltà di impartire disposizioni tramite home banking; l infrastruttura resa disponibile dalla convenuta richiede l utilizzo di una password dispositiva OTP generata da un dispositivo token; 2. la ricorrente ha lamentato la fraudolenta esecuzione di una disposizione di bonifico per 6842,34, che risulta impartita tramite home banking il 3 aprile 2012 e richiesto il richiamo della stessa; 3. il contenzioso è sorto in quanto la convenuta ha negato proprie responsabilità in ordine all esecuzione del bonifico suddetto, imputando l occorso alla condotta della ricorrente; pertanto, non le ha rimborsato l importo, limitandosi a offrirle con finalità transattive il 50% dell ammontare dell operazione. Pag. 2/7
Nei reclami presentati, la ricorrente ha respinto le imputazioni di negligenza del proprio comportamento, con particolare riguardo alle cautele adottate nella custodia dei codici dispositivi anche sotto il profilo del phishing - e nella protezione da software malevoli (ad esempio quelli del tipo Man in the browser ) e degli apparati hardware utilizzati. Ha poi, tra l altro: - rappresentato che l operatività on line sul proprio conto corrente viene curata dal figlio, regolarmente delegato ad operare come da documentazione depositata in filiale e che non si sono mai verificati episodi della specie in precedenza; - asserito che l inserimento dei primi due codici del conto è fatto in un sito a bassa sicurezza (http) omissis e non, invece, in uno ad alta sicurezza (https) ; - riferito dell esistenza di una sentenza di un Giudice di Pace, emessa nel 2011, relativa a una fattispecie analoga e in cui è stata stabilita la responsabilità della banca, con conseguente ristoro del cliente; - segnalato che l importo in questione era stato dapprima accreditato dalla banca nel giorno in cui era stato chiesto il richiamo (6 aprile 2013), salvo successivo riaddebito senza una adeguata comunicazione, trascorso oltre un mese (07/05/12) creando un notevole disagio ; - ipotizzato - anche in relazione alla dinamica degli accadimenti che hanno contraddistinto l operatività più recente - vulnerabilità nel sito della banca del tipo man in the middle, conseguenti a un insufficiente protezione degli utenti all accesso. In ricorso, la ricorrente che ha esposto lamentele in ordine alle modalità di gestione della controversia ha fatto, tra l altro, presente: - che i dispositivi per l operatività on line sono stati consegnati, a suo tempo, direttamente al proprio figlio da parte da un funzionario della convenuta; - che le modalità di accesso ai siti della banca sono state implementate sotto il profilo della sicurezza solo recentemente, in epoca successiva ai fatti contestati. Con ricorso sottoscritto in data 30.9.2012, la ricorrente richiede al Collegio ABF quanto segue: Con la presente si richiede all ABF di accogliere la mia richiesta fatta alla [convenuta] il rimborso integrale del bonifico estero di euro 6.842,33 disposto in maniera fraudolenta tramite servizio [di banca online come denominato dalla convenuta]. Nelle proprie controdeduzioni, presentate, tramite il Conciliatore Bancario, il 13.12.2012, l intermediario resistente, dopo aver precisato che il conto corrente in questione è stato acceso nel dicembre 2010, nella medesima data in cui è stato sottoscritto il servizio di multicanalità per l operatività on-line, ha ripreso argomentazioni già esposte in occasione delle risposte ai reclami e, tra l altro: - ha asserito che, a seguito della presentazione del disconoscimento, in data 6.4.2012 ha chiesto all intermediario polacco, presso il quale era destinato il bonifico, lo storno dell operazione, ottenendo riscontro negativo, - ha puntualizzato che non sono state riscontrate carenze nel sistema di sicurezza del servizio di multicanalità e che l operazione disconosciuta risulta autenticata con le credenziali gestite autonomamente dalla ricorrente ; ritiene verosimile che gli apparati utilizzati siano stati oggetto di un intromissione malevola del tipo man in the browser, conseguente a episodi di phishing; sul punto, ha esposto articolate argomentazioni; - ha precisato che per le operazioni che risultano regolarmente eseguite non si ritiene, quindi, ammissibile il ripudio della transazione e la Banca è obbligata a dare esecuzione in automatico alla disposizione del Cliente ; - ha evidenziato che alla cliente è stata proposta, con finalità commerciali, una transazione per un importo pari al 50% di quello del bonifico disconosciuto; Pag. 3/7
- ha esplicitato le caratteristiche del sistema di sicurezza del proprio sito dispositivo e le policy seguite per la verifica della robustezza del sistema di protezione degli accessi, replicando alle asserzioni della ricorrente in termini di vulnerabilità della configurazione passata e presente dello stesso; - ha evidenziato che, come ammesso dalla ricorrente, le operazioni risultano disposte dal figlio della stessa, non autorizzato ad operare con le credenziali di accesso in uso e con i codici ID della Titolare del rapporto ; - ha posto l accento sulle previsioni del contratto per adesione al servizio di multicanalità e, in particolare, sugli artt. 4, 7 e 9, richiamando le responsabilità del cliente in tema di custodia delle credenziali, di utilizzo del servizio da chiunque effettuato, di blocco del servizio nell ipotesi di furto e smarrimento dei sistemi di accesso. La convenuta ha chiesto che il Collegio rigetti la richiesta della [ricorrente], non avendo la stessa custodito le credenziali di accesso del servizio di multicanalità con la diligenza del caso. DIRITTO La questione centrale che questo Collegio deve affrontare per la soluzione del caso che ne occupa attiene ai doveri di custodia dei codici di accesso da parte del cliente che utilizzi il servizio di home banking da un lato e del grado di diligenza che si può richiedere all intermediario in relazione all erogazione di detto servizio dall altro lato. Tuttavia, prima di passare all esame del merito della questione, è bene ricordare in fatto alcuni aspetti essenziali ai fini della decisione. Le operazioni contestate risalgono a un momento successivo all entrata in vigore del D. Lgs. 27.1.2010 n. 11 di recepimento della Direttiva sui servizi di pagamento (Direttiva 2007/64/CE del 13 novembre 2007). La ricorrente chiede il riaccredito di un importo complessivo di 6.842,33 a seguito del disconoscimento di un operazione di bonifico effettuata tramite home banking, in data 3.4.2012 (martedì); la stessa è stata formalmente disconosciuta in data 6.4.2012; secondo quanto descritto dalla parte convenuta, il sistema utilizzato per disporre le transazioni on line è del tipo a due fattori (username e password nota solo al cliente + OTP). La convenuta sostiene di non poter acconsentire al rimborso dell importo relativo alla transazione disconosciuta in relazione al regolare utilizzo delle relative credenziali per l accesso. In proposito, nella documentazione prodotta da parte convenuta non risulta acclusa alcuna evidenza di quanto dichiarato; parte convenuta ha, invece, documentato di aver richiesto in data 11 aprile 2012 - l importo alla banca destinataria del bonifico e che, in relazione a ciò, quest ultima ha comunicato, il successivo 12 aprile 2012, che l importo non era più disponibile in quanto il beneficiario lo aveva prelevato. Le parti non producono, inoltre, documentazione concernente l accesso al sito né, in particolare, l inserimento delle credenziali in siti con il protocollo https in luogo di http. La ricorrente afferma che l accesso al sito e l utilizzo del token per la funzionalità Home Banking sono sempre stati compiuti dal proprio figlio, cointestatario del rapporto di conto corrente, al quale un funzionario della banca avrebbe direttamente consegnato i necessari supporti. In proposito la convenuta che non ha contestato tale ultimo profilo - ha controdedotto, producendo la relativa documentazione contrattuale intestata alla singola persona, che l adesione al servizio di multicanalità è personale ed è avvenuta solo in capo alla ricorrente. Il contratto per adesione al servizio di multicanalità risulta adeguato alla disciplina di cui al d. lgs. 11/2010. Pag. 4/7
Ebbene, così ricostruiti gli aspetti salienti della vicenda, non può che ricordarsi come già si è avuto occasione di rilevare in altre occasioni che è opinione assolutamente condivisa che sul cliente gravi l onere di custodire con la massima diligenza i vari codici in suo possesso necessari per compiere operazioni bancarie di vario genere, siano esse prelievi per mezzo del servizio Bancomat, disposizioni di operazioni per mezzo di servizi on-line o pagamenti via Internet. Il punto è essenziale per una corretta interpretazione del rapporto contrattuale, posto che, in linea generale, appare corretto affermare che al cliente sono opponibili le operazioni effettuate con la digitazione dei codici in suo possesso (indipendentemente da chi effettivamente le abbia disposte), proprio perché nell utilizzo del servizio di home banking il cliente viene identificato esclusivamente mediante la verifica dei codici di sicurezza che gli sono stati assegnati. Tuttavia, all epoca dei fatti all origine del presente procedimento era già in vigore la normativa (di recepimento della c.d. Direttiva PSD) di cui al D. Lgs. 27 gennaio 2010, n. 11, secondo la quale salvo il caso in cui l utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell articolo 7, comma 1, lettera b), l utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento (art. 12, comma 3 ); nel contempo, qualora abbia agito in modo fraudolento o non abbia adempiuto ad uno o più obblighi di cui all art. 7 con dolo o colpa grave, l utilizzatore sopporta tutte le perdite derivanti da operazioni di pagamento non autorizzate e non si applica il limite di 150 euro di cui al comma precedente (art. 12, comma 4 ). Ciò chiarito, è ora necessario verificare quale sia la corretta soluzione della controversia alla luce delle norme sopra riportate. Ora, come è noto, la diligenza professionalmente qualificata cui fa riferimento il secondo comma dell art. 1176 cod. civ., deve essere parametrata alle specificità tecnico-scientifiche della professione esercitata, trattandosi di nozione superiore e più specifica di quella relativa al buon padre di famiglia, richiamata dal primo comma dello stesso articolo. L adempimento dell obbligazione, quindi, deve avvenire con la diligenza del regolato ed accorto professionista (banchiere, nel caso che ne occupa), pena il risarcimento dei danni secondo i normali canoni della responsabilità contrattuale. Per gli aspetti che qui interessano, tale parametro rileva in relazione alla specificità del servizio bancario oggetto di contestazione (home banking) che implica l utilizzazione del canale telematico e l uso di codici dispositivi. In particolare, la valutazione coinvolge l adeguatezza - considerati gli standard esistenti - dei presidi tecnici adottati dall intermediario per rendere sicure le transazioni on-line da attacchi di pirateria informatica. Sui presidi di sicurezza più idonei a fronteggiare il fenomeno della pirateria informatica non c è attualmente una specifica normativa vincolante, anche se esistono diversi documenti, sia a livello nazionale che internazionale, trattano della sicurezza dell e-banking e, in particolare, della diversa efficacia dei vari meccanismi di autenticazione. L utente viene, infatti, autenticato attraverso la presentazione di credenziali. Generalmente si intende per credenziale uno o più dei seguenti elementi: qualcosa che l utente sa (es. la password); qualcosa che l utente ha (es. il token, che può contenere un certificato digitale); qualcosa che l utente è (in questo caso si parla di caratteristiche biometriche, es. le impronte digitali). Pag. 5/7
Quando l autenticazione dell utente utilizza congiuntamente due di questi sistemi, si parla di autenticazione a due fattori. Alcune modalità tecniche consentono già oggi, in associazione all utilizzo di user-id e password, di effettuare una autenticazione a due fattori: si tratta soprattutto di Segreti condivisi e Token. Nel caso in esame deve ritenersi che l intermediario resistente abbia adempiuto con la dovuta diligenza ai propri obblighi. Questo ha, infatti, messo a disposizione del cliente un sistema per il compimento di operazioni on line, che è basato sull utilizzo contemporaneo di più fattori, ossia quel tipo di sistema che sia questo Collegio sia il Collegio di coordinamento non ha mancato di considerare come (attualmente) il più sicuro e tale da assicurare la migliore tutela degli utilizzatori in base all attuale stato della tecnica, anche se giova ricordarlo non esistono strumenti totalmente sicuri [cfr., sul punto, la Premessa all allegato tecnico ( Tipologie di strumenti di più elevata qualità sotto il profilo della sicurezza ) al Provvedimento Banca d Italia dell 11.2.2011 Diritti e Obblighi delle parti (di attuazione del titolo II del D.lgs. n. 11/2010 relativo ai servizi di pagamento), ove si legge che gli strumenti qualificati come a maggior sicurezza non vanno intesi come mezzi intrinsecamente sicuri, cioè privi di rischio, ma come strumenti che presentano un livello di rischio connesso con frodi o disconoscimenti inferiore rispetto agli altri strumenti di pagamento alla luce dell evoluzione tecnologica ]. Ciò nonostante, questo Collegio non può esimersi dal rilevare che la frode subita dal ricorrente sia stata qualificata nella stessa ipotesi formulata dall intermediario quale fenomeno del c.d. man-in-the-browser. Come già si è avuto occasione di sottolineare in altre occasioni, si tratta di una forma assai subdola di truffa on-line, che implica una sorta di duplicazione della pagina web, la quale si presenta pressoché identica all ignaro utente on-line. Ebbene, a questo proposito deve ricordarsi che l onere di fornire la prova della colpa grave dell utilizzatore è riversato dalla normativa vigente (ovvero il citato D. Lgs. 11/2010 di recepimento della Direttiva 2007/64/CE, la c.d. PSD) in capo all intermediario. Nel caso all origine della presente controversia le plausibili circostanze della frode sono state ricostruite in modo sufficientemente concorde: la ricorrente ha, infatti, lamentato l uso, da parte dell intermediario di una connessione non protetta (tipico fenomeno che si verifica nel caso dei sistemi di frode sopra evidenziati) e l intermediario ha ritenuto verosimile che la ricorrente sia stata vittima di un attacco di un man-in-the-browser. Ora, ritiene questo Collegio che le illustrate circostanze siano sufficienti per escludere la colpa grave della ricorrente, la quale è caduta in una trappola particolarmente insidiosa e sicuramente assai ardua da rilevare per un soggetto non particolarmente esperto. Ne deriva necessariamente la conclusione secondo la quale la condotta dell utente non è stata connotata dal requisito essenziale della colpa grave e che, conseguentemente, debba esserle riconosciuto il diritto ad essere tenuta indenne dal pregiudizio subito, al netto della franchigia di legge. PER QUESTI MOTIVI Il Collegio accoglie parzialmente il ricorso e dispone che l intermediario corrisponda alla ricorrente la somma di 6.692,33. Il Collegio dispone inoltre, ai sensi della vigente normativa, che l intermediario corrisponda alla Banca d Italia la somma di 200,00 quale contributo alle spese della procedura e alla ricorrente la somma di 20,00, quale rimborso della somma versata alla presentazione del ricorso. IL PRESIDENTE Pag. 6/7
firma 1 Pag. 7/7