Essere vittima di phishing è più frequente di quanto si possa pensare. Con questo termine si fa riferimento a quella peculiare ipotesi di truffa informatica che consente ai malintenzionati di fare operazioni online sul conto corrente o sulla carta di credito della vittima. È evidente che la facilità e la comodità di utilizzo degli strumenti di pagamento online ha un prezzo da pagare, rappresentato dalle potenziali falle del sistema. Il punto centrale, davanti ad un caso di phishing, è quello di capire come si è creata questa falla e come ha fatto il truffatore ad infilarcisi.
Cliente contro banca: mancato rispetto dello standard di sicurezza
Come si può immaginare, il cliente è interessato a ricevere il rimborso delle somme che si sono volatilizzate. Dall’altra parte, la banca cerca di resistere a questa domanda. Chi subisce questo tipo di truffa, però, se ne accorge solamente quando la proverbiale frittata è ormai fatta. Si rischia, così, di non disporre di strumenti o spunti idonei per ricostruire i fatti. Sa semplicemente di essere stato truffato e derubato. Ad aiutare il cliente c’è la circostanza che il suo rapporto con la banca è di natura contrattuale, per cui, rivolgendosi al suo istituto per ottenere il rimborso, può giovarsi del meccanismo dell’inversione dell’onere probatorio.
In termini semplici, al truffato basterà provare l’esistenza del contratto in essere con la banca, adducendo un inadempimento di quest’ultima. Ciò che si imputa è il fatto di non aver assicurato il rispetto di uno standard di sicurezza tale da garantire i prelievi non autorizzati. Spetta alla banca difendersi, provando che l’operazione contestata è in realtà riconducibile al cliente. Il principio, elaborato dalla giurisprudenza ormai anni fa, è stato confermato dalla Corte di cassazione nella recente ordinanza n. 13204/2023.
L’onere della prova grava sulla banca
L’istituto, argomentano i giudici, è pur sempre un operatore professionale e come tale deve accollarsi il rischio legato all’attività svolta. Dovrà quindi approntare delle misure di sicurezza idonee a prevenire e scongiurare il verificarsi di situazioni di rischio, come l’utilizzo di password, token, OTP, notifiche push eccetera. Questo significa, del resto, che laddove sia stato il cliente a contribuire, per negligenza o superficialità, ad aprire la falla o a lasciarla aperta, ecco che la responsabilità della banca va esclusa. In altre partole: se le password non sono conservate adeguatamente, la banca potrà resistere efficacemente alla domanda di rimborso.
La prova della colpa del cliente, però, dovrà giungere proprio dall’istituto. Spetta al prestatore del servizio di pagamento, ricorda la Cassazione, provare la riconducibilità dell’operazione al cliente. Nel caso specifico, questi, successivamente alla truffa subita, ha rottamato il pc da cui era solito controllare il conto corrente. Non è stato possibile, pertanto, accedere ed effettuare una verifica attraverso una perizia informatica. Secondo la Cassazione, la circostanza che sia rimasto un alone di mistero rispetto allo svolgimento dei fatti, non deve pregiudicare il cliente. Per tale ragione, posto che la banca non è riuscita a dimostrare che l’operazione contestata era riconducibile al correntista, la domanda di rimborso va accolta.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale