La vittima di phishing può farsi risarcire dalla banca. Chiaramente, al ricorso di alcune condizioni. È questo il principio desumibile dalla sentenza della Corte di Cassazione n. 3780/2024. La vicenda è la classica storia dove il protagonista,  per usare una formula popolare, “potresti essere tu”. Un correntista, infatti, ha ricevuto una e-mail, apparentemente riconducibile all’istituto bancario, con cui veniva invitato a resettare la password di accesso all’home banking. Dopo aver compiuto l’operazione, si è trovato con un prelievo non autorizzato dal conto corrente.

A questo punto, non è stato difficile scoprire che si era trattato di phishing andato – purtroppo per il correntista – a buon fine. La modalità è piuttosto collaudata: i malintenzionati fanno partire una e-mail che ha tutta l’aria di essere credibile e indirizzano la vittima su un sito fraudolento. Qui, il correntista inserisce i propri dati di accesso all’home banking, erroneamente convinto di doverli sostituire. Dall’altra parte, acquisiscono i dati di accesso e li usano immediatamente per fare login ed effettuare una disposizione di bonifico.

Scoperta la truffa, il correntista riesce a bloccare il conto e, se non altro, evitare il compimento di altre operazioni indesiderate. Ma può recuperare i soldi persi?

Le condizioni per ottenere il risarcimento 

Secondo la Cassazione, come si è detto, sì. Tra banca e cliente, dice la Suprema Corte, c’è infatti un rapporto di natura contrattuale. Questo significa che il correntista può agire in giudizio per chiedere la restituzione della somma, invocando una responsabilità di natura, appunto, contrattuale. Che, per l’opposto, scarica sulla banca l’onere di dimostrare di aver operato correttamente. In altre parole: non è il cliente che deve dimostrare di aver subito incolpevolmente il prelievo, ma è la banca che deve dar conto di come ha operato.

La possibilità che il cliente subisca il furto delle credenziali è propria del rischio di impresa, dice la Corte. L’istituto, quindi, deve dimostrare di aver adottato quelle tecniche atte a scongiurare gli eventi avversi. Deve dar conto di aver adottato soluzioni idonee a prevenire o ridurre l’uso fraudolento dei sistemi elettronici di pagamento (ad esempio: SMS alert). Se la banca, quindi, dimostra di aver messo in atto queste misure e che il prelievo indesiderato deriva dalla condotta incauta del cliente, non può aversi rimborso. Ma se tale prova manca, la banca deve restituire i soldi al correntista.

Andrea Martinis

Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale