Frode informatica bancaria: quando il rimborso è obbligatorio
Negli ultimi anni, la frode informatica bancaria è diventata una sfida sempre più complessa per correntisti e istituti di credito. Una recente sentenza della Corte d’Appello ha gettato nuova luce sulle responsabilità delle banche nei casi di attacchi malware sofisticati, confermando che il rimborso delle somme sottratte è un diritto del cliente a meno che non venga provata una negligenza imperdonabile.
Il caso: il bonifico fantasma da 50.000 euro
La vicenda nasce da un’operazione di bonifico ordinata da una società attraverso il proprio servizio di home banking. Nonostante l’utente avesse inserito correttamente i dati, un malware di tipo “man in the browser” ha intercettato l’operazione, modificando l’IBAN del destinatario all’insaputa del correntista. Il risultato? Cinquantamila euro sono finiti su un conto ignoto.
L’istituto di credito ha inizialmente riaccreditato la somma, per poi addebitarla nuovamente sostenendo che il cliente fosse colpevole di non aver protetto adeguatamente il proprio PC. Il Tribunale di primo grado ha però dato ragione al cliente, portando la banca a ricorrere in appello.
La responsabilità della banca e la sicurezza informatica
Uno dei punti centrali del dibattito riguarda la natura della frode informatica bancaria subita. La tecnica utilizzata dagli hacker era talmente sofisticata da non essere rilevabile dai comuni antivirus commerciali dell’epoca.
Secondo la Corte, la banca non ha dimostrato che i propri sistemi di sicurezza fossero impenetrabili o che il sistema anti-frode interno avesse funzionato correttamente. La legge stabilisce chiaramente che l’onere della prova spetta all’istituto: è la banca a dover dimostrare che l’operazione è stata autenticata correttamente e che non vi sono stati malfunzionamenti.
La questione della colpa grave del cliente
Per evitare il rimborso, la banca ha cercato di dimostrare la “colpa grave” dell’utente. Le accuse principali riguardavano la mancata analisi forense del PC e la delega delle operazioni a una collaboratrice non formalmente autorizzata.
Tuttavia, i giudici hanno respinto queste tesi. La violazione di norme interne o la delega a terzi non hanno un legame causale con l’intrusione del malware. Se il virus è invisibile ai normali controlli, il cliente che usa il computer abituale non può essere considerato gravemente negligente.
Le motivazioni
Le motivazioni della Corte si fondano sull’applicazione rigorosa del D.Lgs. 11/2010. I giudici hanno osservato che il livello di diligenza richiesto all’utente non può superare l’adozione di ordinarie misure di protezione. Poiché il malware sfruttava vulnerabilità tecniche non intercettabili dai comuni software, non è configurabile una colpa grave in capo al correntista. Inoltre, la banca non ha fornito elementi tecnici sufficienti per validare l’efficacia del proprio sistema di monitoraggio transazioni al momento del furto.
Le conclusioni
Le conclusioni del procedimento hanno visto il rigetto integrale dell’appello proposto dalla banca. L’istituto è stato confermato nel suo obbligo di restituire l’intera somma di 50.000 euro, oltre al pagamento delle spese legali e degli interessi. Questa decisione ribadisce un principio fondamentale: nel rapporto tra banca e cliente, il rischio professionale derivante dall’uso di strumenti digitali grava principalmente sul prestatore di servizi, incentivando così gli istituti a investire in sistemi di sicurezza sempre più avanzati per contrastare ogni forma di frode informatica bancaria.
Chi deve risarcire il danno se un bonifico viene dirottato da un malware?
L’istituto bancario è tenuto al rimborso delle somme sottratte a meno che non riesca a provare il dolo o la colpa grave dell’utente nell’utilizzo dello strumento di pagamento.
Cosa si intende per colpa grave del correntista in ambito informatico?
Si configura quando il cliente omette le più elementari precauzioni, come l’uso di antivirus o la custodia dei codici, ma non è ravvisabile se il malware usato nella frode è invisibile ai comuni sistemi di protezione.
Quanto tempo ha il cliente per denunciare un’operazione non autorizzata?
Il correntista deve comunicare l’operazione non autorizzata senza indugio e comunque entro il termine massimo di 13 mesi dalla data di addebito della somma sul conto.