Di Maura Castiglioni, Avvocato
La truffa informatica consiste nella alterazione del funzionamento di un sistema informatico allo scopo di procurare a sé o ad altri un ingiusto profitto con altrui danno.
È particolarmente diffusa nel servizio di home-banking, con il quale il cliente di una banca può disporre dei servizi di pagamento attraverso il sistema informatico, senza la necessità di doversi recare personalmente presso gli sportelli della banca.
In particolare, la truffa attraverso il servizio home-banking si realizza nella manipolazione del sistema informatico e nell’indebita appropriazione dei fondi dell’utente di servizi bancari.
La responsabilità della banca nelle ipotesi di truffa informatica trova fondamento nel D. Lgs. 11 del 27 gennaio 2010 (c.d. PSD – Payment Services Directive) [1], ed in particolare negli articoli 11 e 12.
L’art. 11 (Responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate) dispone al comma 1:
“1. Fatto salvo l’articolo 9 [2], nel caso in cui un’operazione di pagamento non sia stata autorizzata, il prestatore di servizi di pagamento rimborsa immediatamente al pagatore l’importo dell’operazione medesima. Ove per l’esecuzione dell’operazione sia stato addebitato un conto di pagamento, il prestatore di servizi di pagamento riporta il conto nello stato in cui si sarebbe trovato se l’operazione di pagamento non avesse avuto luogo”.
L’art. 12 (Responsabilità del pagatore per l’utilizzo non autorizzato di strumenti o servizi di pagamento) stabilisce:
“1. Salvo il caso in cui abbia agito in modo fraudolento, l’utilizzatore non sopporta alcuna perdita derivante dall’utilizzo di uno strumento di pagamento smarrito, sottratto o utilizzato indebitamente intervenuto dopo la comunicazione eseguita ai sensi dell’articolo 7, comma 1, lettera b) [3].
2. Salvo il caso in cui abbia agito in modo fraudolento, l’utilizzatore non è responsabile delle perdite derivanti dall’utilizzo dello strumento di pagamento smarrito, sottratto o utilizzato indebitamente quando il prestatore di servizi di pagamento non ha adempiuto all’obbligo di cui all’articolo 8, comma 1, lettera c) [4].
3. Salvo il caso in cui l’utilizzatore abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l’utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell’articolo 7, comma 1, lettera b), l’utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a 150 euro la perdita derivante dall’utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento”.
L’art. 10 del D. Lgs. n. 11/2010 pone pertanto a carico del prestatore dei servizi di pagamento (ossia l’intermediario finanziario) specifici precetti, che connotano di un particolare favor la posizione del cliente.
In particolare:
a) in caso di disconoscimento di un’operazione di pagamento, è onere dell’intermediario dimostrare che l’operazione sia stata correttamente autenticata, registrata e contabilizzata e che la sua patologia non sia dovuta a malfunzionamenti delle procedure esecutive o ad altri inconvenienti del sistema;
b) l’apparentemente corretta autenticazione non è però sufficiente ad escludere la responsabilità dell’intermediario;
c) la responsabilità del cliente è ai casi di comportamento doloso o gravemente colposo del medesimo.
Nelle fattispecie precedenti all’entrata in vigore del D. Lgs. n. 11/2010 (1° marzo 2010), la giurisprudenza generalmente riconosce la responsabilità del prestatore dei servizi di pagamento sul presupposto che quest’ultimo, nei rapporti contrattuali con il correntista, risponde secondo le regole del mandato ex art. 1856 c.c. e la diligenza cui è tenuto va valutata con particolare rigore: la diligenza del buon banchiere deve essere qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale dell’agente consente e richiede (ex multis: Tribunale di Caltanissetta, sentenza del 3/11/2014; Tribunale di Verona, sentenza del 2/10/2012).
L’unico limite alla responsabilità della banca consiste nel dolo o nella colpa grave in capo al cliente; circostanze che possono eventualmente diminuire o escludere il risarcimento dovuto dalla banca, ai sensi dell’art. 1227 c.c.[5]
La colpa in capo al cliente può in concreto sussistere quando l’aggiramento dei sistemi di sicurezza abbia avuto luogo attraverso metodi truffaldini noti, quali false comunicazioni di scadenza o inviti all’aggiornamento di database, ricevute per email, che il cliente, utilizzando un grado di diligenza minimo, avrebbe potrebbe ritenere fraudolente.
Non è pertanto esente da colpa la condotta del cliente che comunichi a malintenzionati, in risposta a e-mails ricevute, i propri codici di accesso al servizio di home-banking, consentendo in tal modo ad hackers informatici di inserirsi nel sistema e disporre ordini di pagamento illeciti.
Negli ultimi anni si è diffusa una truffa informatica particolarmente capziosa, difficilmente evitabile da parte del cliente, quand’anche utilizzi l’ordinaria diligenza al medesimo imposta.
Questa tipologia di truffa informatica è definita “Man in the browser” (o anche “Man in the Middlee”) e si realizza quando ad esempio il cliente ritiene di interagire con i servizi della propria banca, mentre il browser con cui sta navigando è infetto e riesce ad intercettare e a modificare le operazioni impartite tramite il servizio home-banking.
Il correntista è in tali casi vittima di un software malevolo (malware), che si inserisce nella comunicazione con la banca, modificando gli ordini impartiti dal cliente.
Può così accadere che il cliente, tramite il browser “infetto”, disponga un ordine di pagamento voluto, che però il malware intercetta e modifica, inoltrando alla banca un differente ordine ed in favore di un terzo soggetto, sconosciuto al cliente, complice dell’hacker.
Anche nell’ipotesi in cui il cliente sia vittima della truffa c.d. “Man in the browser”, la banca può essere ritenuta responsabile, con il solo limite della colpa grave e del dolo del cliente, come previsto all’art. 12 D. Lgs. n. 11/2010.
Proprio a causa degli insidiosi meccanismi di aggressione informatica tipici della truffa c.d. “Man in the browser”, differenti da quelli tradizionali (false comunicazioni di scadenza, invito all’aggiornamento o comunicazione dei propri codici), è difatti assai complesso per la banca dimostrare una ipotesi di colpa grave in capo al cliente.
Questo in quanto la truffa sarebbe riconoscibile astrattamente soltanto ad un soggetto con capacità specifiche della scienza informatica, dotato cioè di particolari cognizioni tecniche, estranee al cliente comune, a cui è invece imposto solo un criterio di media diligenza.
Per tale ragione l’Arbitro Bancario e Finanziario ha escluso la responsabilità in capo al cliente in un caso di truffa c.d. “Man in the browser”, così motivando la decisione di addebito della responsabilità alla banca:
“Qualora si verifichi che il titolare di un conto corrente, con operatività on line, sia vittima del fenomeno di truffa on line, comunemente conosciuto come “Man in the Browser” (definito da parte del Collegio di Coordinamento, con decisione n. 3498 del 26/10/2012, come la “interposizione che il malware è in grado di operare fra il sistema centrale dell’intermediario e quello del singolo utente”), l’intermediario (Banca) ha l’onere di dimostrare la colpa grave (o addirittura il comportamento fraudolento del titolare dello strumento di pagamento), in base ai principi che governano la responsabilità contrattuale (art. 1218 c.c.). Ne consegue che, ove si accerti in sede istruttoria che la truffa perpetrata è avvenuta mediante inserimento dei dati, digitati dal cliente, non sulla pagina web della banca ma su una maschera fake di login, che si è interposta fra il PC del cliente e la pagina stessa di login, deve ritenersi che il correntista è caduto in una “trappola” particolarmente insidiosa e sicuramente ardua per poter essere rilevata da un soggetto non particolarmente esperto (sul punto, Collegio di Roma, decisione n. 516 del 28/01/2013), il che esclude il la sussistenza della fattispecie di “colpa grave” a carico del correntista” (ABF Collegio di Milano, decisione n. 1363 del 7/3/2014; conf. ex multis: ABF Collegio di Milano, decisione n. 7558 del 10/10/2014; ABF Collegio di Milano, decisione n. 6786 del 15/10/2014).
NOTA:
[1] Decreto Legislativo n. 11 del 27 gennaio 2010 – Attuazione della direttiva 2007/64/CE, relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 97/7/CE, 2002/65/CE, 2005/60/CE, 2006/48/CE, e che abroga la direttiva 97/5/CE (PSD – Payment Services Directive).
[2] Art. 9, comma 1: “L’utilizzatore, venuto a conoscenza di un’operazione di pagamento non autorizzata o eseguita in modo inesatto, ivi compresi i casi di cui all’articolo 25, ne ottiene la rettifica solo se comunica senza indugio tale circostanza al proprio prestatore di servizi di pagamento secondo i termini e le modalità previste nel contratto quadro o nel contratto relativo a singole operazioni di pagamento. La comunicazione deve essere in ogni caso effettuata entro 13 mesi dalla data di addebito, nel caso del pagatore, o di accredito, nel caso del beneficiario”
[3] Art. 7, comma 1, lettera b): “1. L’utilizzatore abilitato all’utilizzo di uno strumento di pagamento ha l’obbligo di: (”¦)
b) comunicare senza indugio, secondo le modalità previste nel contratto quadro, al prestatore di servizi di pagamento o al soggetto da questo indicato lo smarrimento, il furto, l’appropriazione indebita o l’uso non autorizzato dello strumento non appena ne viene a conoscenza 2. Ai fini di cui al comma 1, lettera a), l’utilizzatore, non appena riceve uno strumento di pagamento, adotta le misure idonee a garantire la sicurezza dei dispositivi personalizzati che ne consentono l’utilizzo”.
[4] Art. 8, comma 1, lettera c): “. Il prestatore di servizi di pagamento che emette uno strumento di pagamento ha l’obbligo di: (”¦) c) assicurare che siano sempre disponibili strumenti adeguati affinché l’utilizzatore dei servizi di pagamento possa eseguire la comunicazione di cui all’articolo 7, comma 1, lettera b), nonché, nel caso di cui all’articolo 6, comma 4, di chiedere la riattivazione dello strumento di pagamento o l’emissione di uno nuovo ove il prestatore di servizi di pagamento non vi abbia già provveduto. Ove richiesto dall’utilizzatore, il prestatore di servizi di pagamento gli fornisce i mezzi per dimostrare di aver effettuato la comunicazione per i 18 mesi successivi la comunicazione medesima”
[5] Art. 1227 c.c.: “1. Se il fatto colposo del creditore ha concorso a cagionare il danno, il risarcimento è diminuito secondo la gravità della colpa e l’entità delle conseguenze che ne sono derivate. 2. Il risarcimento non è dovuto per i danni che il creditore avrebbe potuto evitare usando l’ordinaria diligenza”.
Maura Castiglioni, “La responsabilità della banca nelle truffe informatiche nell’home-banking: la fattispecie del c.d. “Man in the Browser””, Magistra Banca e Finanza, 13 ottobre 2016, ISSN 2039-7410, https://www.tidona.com/la-responsabilita-della-banca-nelle-truffe-informatiche-in-danno-del-cliente-nellhome-banking-la-fattispecie-del-c-d-man-in-the-browser/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione è quella indicata sopra, con collegamento all’URL originale dell’articolo.