Spoofing bancario, il Tribunale di Milano condanna BBVA: la banca deve rimborsare i 20mila euro sottratti al correntista
Una sentenza che ridefinisce gli obblighi di sicurezza degli istituti di credito di fronte alle frodi informatiche più sofisticate.
Novembre 2023. Un correntista BBVA riceve un SMS apparentemente inviato dalla propria banca, seguito da una telefonata di un sedicente operatore dell’istituto che lo avverte di movimenti sospetti sul conto. Il numero visualizzato sembra riconducibile alla banca, le comunicazioni sono credibili nei toni e nei dettagli: il cliente segue le istruzioni ricevute convinto di proteggere il proprio denaro. In realtà sta consegnando ai cybercriminali i codici OTP necessari per autorizzare due bonifici da 10.000 euro ciascuno. Venti mila euro sottratti nel giro di pochi minuti attraverso una tecnica nota come spoofing, ovvero la falsificazione dell’identità del mittente per renderla indistinguibile da quella originale.
La sentenza: OTP non equivale a consenso libero e consapevole
Il Tribunale di Milano ha condannato BBVA a restituire l’intera somma, oltre a interessi e spese legali. La decisione, ottenuta grazie all’azione legale promossa dall’associazione Codici, si fonda su un principio che ribalta l’impostazione difensiva tipica degli istituti di credito in questi casi: il semplice utilizzo dei codici OTP non dimostra che l’operazione sia stata autorizzata in modo libero e consapevole dal cliente.
Il giudice ha accertato che il correntista era vittima di una sofisticata attività fraudolenta, ha escluso qualsiasi profilo di colpa grave a suo carico e ha rilevato come la banca non abbia fornito prova di un comportamento negligente da parte del cliente. Determinante anche il fatto che il correntista avesse segnalato tempestivamente la frode e disconosciuto le operazioni non appena se ne era reso conto.
Le informative antifrode non bastano a scagionare la banca
Un passaggio della sentenza merita attenzione particolare: il Tribunale ha stabilito che le comunicazioni antifrode pubblicate dagli istituti di credito non sono sufficienti a escludere la responsabilità della banca, soprattutto quando le tecniche di attacco raggiungono un livello di sofisticazione tale da ingannare anche un utente ragionevolmente diligente. La soglia della colpa grave, in altri termini, non può essere abbassata in modo da scaricare sul cliente il peso di un sistema di sicurezza inadeguato.
Il commento di Codici: una sentenza che cambia la prospettiva per le vittime
“La sentenza chiarisce un principio fondamentale: il semplice utilizzo dei codici OTP non significa automaticamente che l’operazione sia stata autorizzata in modo libero e consapevole dal cliente”, dichiara Ivano Giacomelli, segretario nazionale di Codici. L’avvocato Marina Peretto, che ha seguito il caso, aggiunge che molte vittime di queste frodi rinunciano ad agire convinte che la presenza dell’OTP renda impossibile ottenere un rimborso: “Non è così. Le banche hanno precisi obblighi di sicurezza e devono dimostrare l’eventuale colpa grave del cliente, che non può essere presunta automaticamente”. L’associazione segnala di seguire quotidianamente casi di spoofing, phishing e vishing, fornendo assistenza legale ai risparmiatori che si trovano a fronteggiare frodi sempre più difficili da riconoscere.
