di Alessandra Schofield
Malware Il Giudice dà ragione al correntista e la Banca deve rifondere il bonifico involontario. Una recente sentenza del Giudice di Pace di Empoli nella causa promossa da un cliente contro la propria banca per ottenere la restituzione di 2.700 euro, relativi a un bonifico che il ricorrente sostiene di non avere autorizzato, ha dato ragione allo sfortunato correntista.
La banca, infatti, non è riuscita a dimostrare né che il bonifico fosse stato autorizzato dal cliente né che il cliente avesse agito con dolo o colpa grave. Solo in queste due circostanze, infatti, l’istituto bancario sarebbe stato esonerato dalle responsabilità.
I fatti, ricostruiti nella sentenza, sono questi. Il ricorrente è titolare di un conto corrente presso Banca Nazionale del Lavoro. Il 2 maggio 2023 dal suo conto viene eseguito un bonifico di 2.700 euro che egli disconosce e considera fraudolento. L’operazione risulta effettuata tramite home banking ed è diretta a una beneficiaria mai utilizzata prima, su un conto con IBAN lituano, alle 4:46 del mattino. Un orario, quindi, piuttosto anomalo. Contestualmente, il malcapitato nota alcune anomalie sul proprio dispositivo mobile, come un’icona non conforme di Chrome, richieste di autorizzazione sospette e difficoltà nel rimuovere l’applicazione. Il cliente contatta la Banca il 4 maggio 2023, cioè due giorni dopo il bonifico, quando ha il sospetto di essere stato vittima di una frode e chiede l’estratto conto. Avutane conferma, il ricorrente promuove il giudizio davanti al Giudice di Pace di Empoli, chiedendo la restituzione della somma sottratta.
La Banca ha sostenuto che un truffatore, attraverso un’app terza alla quale il cliente avrebbe consentito l’accesso sul proprio cellulare, abbia preso il controllo del dispositivo, carpito le credenziali di accesso all’home banking e disposto così il bonifico contestato. BNL ha affermato anche di avere inviato SMS alert e notifiche push nelle ore notturne, tra le 3:30 e le 5:02 del 2 maggio 2023, sostenendo che il cliente avrebbe potuto accorgersi dell’operazione e bloccarla.
La Banca, pertanto, attribuisce il danno alla condotta del cliente. Da qui nasce la controversia decisa con la sentenza.
La difesa di BNL si basa, insomma, essenzialmente sull’idea che il cliente abbia tenuto un comportamento imprudente durante la navigazione internet. Il giudice, però, ritiene che questo argomento non sia decisivo. Anche se il cliente fosse stato colpito da un malware o da un trojan, questo non significa che abbia autorizzato il pagamento, né consente di attribuirgli automaticamente una colpa grave. La banca ha prodotto log informatici e ha richiamato il sistema di autenticazione forte, ma non ha fornito la prova essenziale, cioè che l’operazione fosse stata voluta consapevolmente dal correntista. Per il giudice, il semplice fatto che il bonifico sia partito usando credenziali e dispositivo del cliente non basta, perché proprio questo è ciò che può accadere in una frode informatica. Anche gli SMS alert e le notifiche push non dimostrano il consenso del cliente, perché hanno solo funzione informativa.
Il giudice ha ricordato che, in caso di operazione contestata, è la banca a dover dimostrare che il pagamento è stato autenticato correttamente, registrato in modo regolare e non influenzato da malfunzionamenti o altri problemi. Il cosiddetto onere della prova non è in capo al cliente e, secondo la sentenza, BNL non ha assolto questo onere. Anzi, la sua stessa ricostruzione, secondo cui un truffatore avrebbe preso il controllo del telefono del cliente e carpito le credenziali, finisce per mostrare che il sistema di sicurezza è stato aggirato. Il giudice insiste anche sull’inadeguatezza dei controlli della Banca, dato che il bonifico presentava diversi elementi anomali: era stato disposto alle 4:46 del mattino, era diretto a una beneficiaria mai usata prima, aveva come destinazione un IBAN lituano e riguardava una somma significativa. Secondo la sentenza, una banca dotata di sistemi adeguati avrebbe dovuto bloccare o almeno verificare meglio un’operazione del genere.
Di fronte alla tesi della colpa grave del cliente sostenuta dalla Banca, secondo cui il ricorrente avrebbe visitato un sito illegale per vedere una partita in streaming, consentendo così l’installazione del malware, il Giudice rileva che questa ricostruzione non è provata, né è dimostrato né che il sito fosse illegale né che il malware sia arrivato proprio da lì. Inoltre, il programma malevolo si presentava come un aggiornamento apparentemente legittimo di Chrome, quindi il cliente, secondo il giudice, è stato vittima di una tecnica ingannevole e non di una propria negligenza grave. Il fatto che il ricorrente si fosse accorto di alcune anomalie e avesse cercato di rimuovere l’applicazione sospetta, viene considerato un comportamento compatibile con la diligenza di un utente medio.
Anche l’argomento del ritardo nella segnalazione viene respinto. Il giudice evidenzia che le notifiche erano arrivate di notte e che il malware poteva averle nascoste o manipolate. Inoltre, appena il ricorrente ha avuto il sospetto della frode, si è attivato. In ogni caso, il bonifico si era già perfezionato il 2 maggio, quindi l’eventuale ritardo non ha inciso ulteriormente sul danno.
Secondo il giudice, i dati personali e bancari del cliente sono stati sottratti da terzi e la banca, come titolare del trattamento, doveva adottare misure tecniche e organizzative adeguate per prevenire questi eventi. Anche secondo la giurisprudenza della Cassazione, il rischio che terzi si introducano nel sistema telematico del cliente rientra normalmente nell’area del rischio professionale della banca, salvo prova del dolo o della colpa grave dell’utente.
