Istituti di credito e responsabilità civile da frode informatica

Con la digitalizzazione di molteplici servizi bancari, diversamente da quanto avveniva in passato, oggi il correntista bancario può, comodamente da casa e in piena autonomia, effettuare pagamenti e realizzare investimenti.

Tutto ciò, se da una parte ha notevolmente semplificato la circolazione della ricchezza e ha favorito la tracciabilità del denaro, dall’altra ha aumentato notevolmente il rischio, per il cliente bancario (spesso consumatore) di incappare in frodi informatiche, che possono essere realizzate con varie tecniche, tutte accumunate dalla volontà, da parte dei frodatori, di acquisire le credenziali di accesso, le password e i codici di sicurezza forniti dalla Banca al Cliente, in modo da potersi sostituire a quest’ultimo nella disposizione di pagamenti in loro favore.

Il phishing

Si tratta dell’ormai noto fenomeno del phishing, termine inglese utilizzato per definire l’attività truffaldina messa in atto tramite tecniche di Social Engineering attraverso cui il frodatore cerca di ottenere dal correntista, con diverse forme legate dal comune denominatore dell’inganno (vishing, smishing, ecc), le informazioni riservate indispensabili per accedere ed operare con l’account di home banking.

Più nel dettaglio, indipendentemente dalle forme con cui si realizza, generalmente il phisher, tramite una e-mail, un sms, messaggio vocale registrato o anche una chiamata “in diretta”, comunica all’utente finale l’esistenza di falsi problemi o novità relativi alla sua posizione bancaria o, anche, alla sicurezza dell’account, invitandolo a seguire un “iter” per la comprensione e risoluzione della vicenda.

Iter nel corso del quale il frodato si troverà a inserire tutti i propri dati sensibili per disporre pagamenti in favore del frodatore – con l’inconsapevole assenso del cliente.

Le conseguenze giuridiche

L’attività di phishing espone il fisher, se individuato, a ovvie conseguenze giuridiche, sia in sede penale che civile, trattandosi – come detto – di evidente attività truffaldina. In particolare, in sede civile l’autore dovrà restituire quanto illegittimamente sottratto oltre a ristorare il truffato dei danni subiti.

Non raramente, però, il phisher, che solitamente opera per il tramite di sofisticati sistemi informatici, rimane non individuato, esponendo al rischio che il costo della truffa rimanga allocato sul solo truffato.

La cornice normativa e l’allocazione del rischio

A tale problematica, di evidente rilevanza costituzionale e sociale, hanno provato a dar risposta il legislatore europeo e nazionale, adottando prima la Direttiva 2007/64/CE, poi recepita con d. lgs. n. 11/2010.

Sinteticamente può genericamente affermarsi che il legislatore ha allocato il rischio economico delle frodi informatiche, in via presuntiva e salvo prova contraria, in capo agli istituti di crediti, i quali potranno a loro volta liberarsi dando dimostrazione dell’assoluta efficienza dei propri strumenti tecnici e delle misure adottate per la prevenzione e la lotta alle truffe informatiche nonché del fatto che l’evento si sia verificato per colpa, grave ed assorbente, dell’utente raggirato.

Gli effetti della condotta gravemente colposa dell’utente

Laddove il phisher riesca a raggiungere l’obiettivo sfruttando l’ingenuità degli utenti, la banca – dando prova di quanto asserito – potrà quindi andare esente da responsabilità, specie laddove sia evidente non solo la riconoscibilità della truffa ma anche la co-partecipazione del truffato “incauto” che non abbia tenuto in debito conto i messaggi di avvertimento provenienti dall’Istituto di credito –

In particolare, stando alle recenti giurisprudenze di merito sul punto, che hanno soprattutto indagato il fenomeno del vishing, si evidenzia uno stratificato orientamento nel senso di ritenere responsabile esclusivo dell’accaduto (oltre al frodatore) il cliente che abbia comunicato non solo tutti i codici per l’utilizzo dei servizi informatici ma abbia anche autorizzato le operazioni di pagamento, dopo aver ricevuto – dalla Banca – l’sms contenente i codici di sicurezza per sbloccare il pagamento e i relativi avvisi sulla natura delle operazioni che si stavano autorizzando.