Frodi online e responsabilità della banca: profili sostanziali e strumenti processuali

L’evoluzione delle frodi online e la dinamica dell’attacco

Le frodi bancarie online hanno progressivamente assunto forme sempre più sofisticate. Non si tratta più soltanto della sottrazione diretta di password o codici dispositivi, ma di vere e proprie attività di manipolazione psicologica del cliente, spesso realizzate attraverso comunicazioni che imitano con notevole precisione quelle dell’istituto di credito.

In termini generali, il phishing si realizza mediante messaggi o pagine web contraffatte; lo smishing utilizza prevalentemente SMS o messaggi istantanei; il vishing si fonda, invece, su telefonate effettuate da falsi operatori bancari. Le tecniche possono essere utilizzate singolarmente o in combinazione.

Lo schema ricorrente prevede l’invio di un messaggio apparentemente proveniente dalla banca, seguito da una telefonata di un falso addetto o da un collegamento a una pagina contraffatta. Il cliente viene indotto a ritenere che sia necessario aggiornare l’applicazione, bloccare un’operazione, verificare la propria identità o mettere in sicurezza il conto.

La vittima, pertanto, non sempre comunica volontariamente password, PIN o codici dispositivi. In alcuni casi viene indotta a compiere operazioni apparentemente innocue, mentre i truffatori sfruttano contestualmente le informazioni acquisite per accedere al rapporto, modificare le impostazioni di sicurezza o disporre trasferimenti.

La frode può quindi essere definita “autorizzata” soltanto in senso apparente: l’operazione risulta tecnicamente eseguita mediante credenziali riconducibili al cliente, ma non è il risultato di una sua effettiva volontà negoziale.

I vari profili di responsabilità dell’istituto

La responsabilità della banca non si esaurisce nella verifica formale dell’utilizzo delle credenziali. In presenza di un disconoscimento, l’intermediario deve dimostrare non soltanto che l’operazione sia stata registrata dai propri sistemi, ma anche che essa sia riconducibile alla volontà del cliente e che non vi siano stati malfunzionamenti o carenze dei presidi di sicurezza.

I principali profili di responsabilità possono riguardare:

• la violazione degli obblighi previsti dalla disciplina sui servizi di pagamento;

• l’insufficiente applicazione dell’autenticazione forte;

• la mancata rilevazione di operazioni anomale;

• l’omesso o tardivo blocco dei trasferimenti;

• la violazione degli obblighi di diligenza professionale;

• l’insufficiente protezione dei dati personali;

• la violazione degli obblighi antiriciclaggio;

• il mancato rispetto delle condizioni contrattuali;

• l’inadeguatezza delle procedure informatiche e antifrode.

Si tratta di profili autonomi, ma spesso collegati. Una banca può, ad esempio, avere utilizzato un sistema formalmente riconducibile alla Strong Customer Authentication e, nello stesso tempo, non avere adottato adeguati sistemi di monitoraggio delle transazioni.

Sicurezza, PSD2, SCA e riparto dell’onere della prova

La disciplina dei servizi di pagamento, contenuta principalmente nel d.lgs. n. 11/2010, prevede una specifica tutela per l’utente che disconosca un’operazione di pagamento.

In linea generale, il prestatore di servizi di pagamento deve dimostrare:

1. che l’operazione sia stata autenticata;

2. che sia stata correttamente registrata e contabilizzata;

3. che non vi siano stati malfunzionamenti dei sistemi;

4. che l’operazione sia riconducibile alla condotta dolosa o gravemente colposa dell’utente, qualora intenda negare il rimborso.

La semplice registrazione dell’operazione nei sistemi informatici non è sufficiente. La banca deve produrre una documentazione tecnica completa e intelligibile, comprensiva, ove rilevante, dei log relativi agli accessi, ai dispositivi, agli indirizzi IP, alle sessioni, alla registrazione o modifica del dispositivo, alla generazione e validazione degli eventuali codici e alla sequenza temporale delle disposizioni.

L’autenticazione forte del cliente non coincide, inoltre, con la mera utilizzazione di credenziali personali. La SCA deve fondarsi su fattori di autenticazione appartenenti alle categorie della conoscenza, del possesso o dell’inerenza, secondo modalità idonee a garantire un effettivo collegamento dinamico tra il cliente e la specifica operazione.

L’uso di domande statiche di sicurezza, prive di carattere dinamico e potenzialmente acquisibili mediante tecniche di ingegneria sociale, non può essere considerato automaticamente sufficiente a dimostrare l’effettiva volontà del cliente né, in ogni caso, la sua colpa grave.

La giurisprudenza di legittimità ha ricondotto la sottrazione fraudolenta delle credenziali nell’area del rischio professionale dell’intermediario. La banca può liberarsi dalla responsabilità soltanto dimostrando che l’evento si è collocato al di là dello sforzo diligente esigibile da un operatore professionale.

La colpa grave del cliente non può essere desunta automaticamente dal fatto che egli abbia interagito con un messaggio fraudolento o abbia eseguito alcune istruzioni ricevute telefonicamente. Deve essere accertata in concreto, considerando il livello di sofisticazione dell’attacco, la capacità del messaggio di imitare le comunicazioni della banca e l’eventuale presenza di elementi idonei a trarre in inganno una persona normalmente prudente.

Una truffa sofisticata, caratterizzata dall’impiego coordinato di SMS, telefonate, numeri apparentemente riconducibili alla banca, siti contraffatti e accesso a informazioni personali, può escludere la colpa grave dell’utente.

Neppure le generiche avvertenze pubblicate sul sito dell’istituto sono, da sole, sufficienti a integrare la prova della colpa grave. Esse possono anzi confermare la concreta prevedibilità del rischio e la consapevolezza della banca circa la diffusione delle tecniche fraudolente.

Furto delle credenziali, rischio d’impresa e diligenza qualificata

Il furto o la captazione delle credenziali costituisce un rischio tipico dell’attività bancaria digitale. L’intermediario che offre servizi di pagamento online deve prevedere la possibilità che terzi utilizzino abusivamente codici, dispositivi o strumenti di autenticazione.

Ne deriva l’applicazione della diligenza qualificata prevista dall’art. 1176, comma 2, c.c. La banca non deve comportarsi come un qualsiasi debitore, ma secondo il parametro dell’operatore professionale dotato di competenze tecniche, organizzative e informatiche adeguate all’evoluzione del settore.

L’autenticazione rappresenta soltanto uno dei livelli di protezione. Un sistema realmente sicuro deve integrare:

• autenticazione e autorizzazione dell’operazione;

• controllo del dispositivo utilizzato;

• analisi comportamentale;

• valutazione del rischio dell’operazione;

• rilevazione di accessi anomali;

• sistemi di blocco o verifica rafforzata;

• comunicazioni tempestive al cliente.

La banca non può trasferire integralmente sul correntista il rischio connesso all’utilizzo fraudolento dei servizi che essa stessa ha progettato e messo a disposizione.

Mancata rilevazione di operazioni anomale

Anche quando l’operazione risulti formalmente autorizzata, l’intermediario deve valutare se essa sia coerente con la normale operatività del cliente.

L’art. 1176, comma 2, c.c. impone alla banca una particolare attenzione nella gestione dei rapporti e nella prevenzione di operazioni manifestamente sospette. L’obbligo non comporta un controllo generalizzato sul merito economico di ogni disposizione, ma impone l’attivazione di presidi quando emergano anomalie significative.

La banca non può limitarsi ad affermare che “non deve valutare la logica” dei bonifici. Il monitoraggio antifrode costituisce, infatti, una componente fisiologica della prestazione bancaria digitale.

La valutazione deve essere effettuata in concreto, sulla base di una pluralità di indicatori.

Gli elementi dell’anomalia in concreto

L’anomalia può emergere, tra l’altro, dai seguenti elementi:

• numero elevato di operazioni eseguite in un breve arco temporale;

• importi complessivi incompatibili con la precedente movimentazione;

• trasferimenti destinati a numerosi beneficiari mai utilizzati;

• ripetizione di pagamenti verso lo stesso beneficiario;

• importi prossimi alle soglie operative o ripetuti in modo frazionato;

• causali insolite rispetto alla storia del rapporto;

• bonifici verso conti esteri o di recente attivazione;

• accesso da un nuovo dispositivo o da un indirizzo IP inconsueto;

• localizzazione geografica incompatibile con le precedenti sessioni;

• contemporanea modifica delle credenziali o dei recapiti;

• registrazione di un nuovo dispositivo;

• svuotamento, totale o pressoché totale, del conto;

• operatività incompatibile con il profilo economico e professionale del cliente;

• utilizzo di un canale o di una modalità mai impiegata in precedenza.

L’anomalia deve essere valutata cumulativamente. Anche un singolo elemento può non essere decisivo, ma la loro combinazione può rendere l’operazione macroscopicamente sospetta e imporre una verifica ulteriore.

Un esempio tipico è costituito da una serie di bonifici istantanei, disposti in pochi minuti, per importi elevati, verso beneficiari nuovi, con causali ripetitive e senza precedenti analoghi nella storia del conto. In una simile situazione, l’assenza di qualunque alert, telefonata o blocco cautelare può costituire un significativo indice di inadeguatezza del sistema antifrode.

Gli obblighi antiriciclaggio

Le medesime circostanze possono assumere rilievo anche ai sensi della normativa antiriciclaggio, contenuta nel d.lgs. n. 231/2007.

Gli intermediari devono adottare procedure di adeguata verifica, conservazione dei dati, monitoraggio della clientela e valutazione delle operazioni sospette. Il sospetto deve essere ricavato dalle caratteristiche, dall’entità, dalla natura dell’operazione e da ogni altra circostanza conosciuta in ragione dell’attività svolta.

Particolare rilievo può assumere il frazionamento artificioso di importi, soprattutto quando esso si accompagni a una pluralità di beneficiari, a trasferimenti rapidi e a operazioni incompatibili con il profilo del cliente.

La normativa antiriciclaggio non impone automaticamente alla banca di impedire ogni operazione sospetta. Tuttavia, quando gli indicatori siano numerosi e convergenti, l’intermediario deve attivare i controlli previsti, valutare l’opportunità di sospendere l’operazione e, ove ne ricorrano i presupposti, effettuare la segnalazione alla UIF.

L’eventuale riservatezza della segnalazione di operazione sospetta non può essere invocata in modo indiscriminato per sottrarre alla prova giudiziale ogni documento interno. Restano distinguibili la segnalazione in senso stretto, soggetta a specifiche regole di riservatezza, e la documentazione tecnica relativa ai controlli, agli alert, alle anomalie rilevate e alle ragioni dell’eventuale mancato intervento.

Data breach, art. 32 GDPR e risarcimento

La dinamica della frode può far emergere anche un possibile accesso abusivo a dati personali o informazioni relative al rapporto bancario.

Quando i truffatori conoscono il numero di telefono del cliente, l’esistenza di determinati rapporti, l’utilizzo di una specifica applicazione o altri elementi non facilmente reperibili all’esterno, occorre verificare se tali informazioni siano state acquisite attraverso una violazione dei sistemi della banca, di un fornitore o di un diverso soggetto coinvolto nel trattamento.

L’art. 32 GDPR impone al titolare e, ove applicabile, al responsabile del trattamento l’adozione di misure tecniche e organizzative adeguate al rischio. La sicurezza deve essere valutata tenendo conto dello stato dell’arte, dei costi di attuazione, della natura dei dati trattati e della gravità dei possibili danni.

La sola esistenza della frode non dimostra automaticamente un data breach. È però necessario accertare, attraverso log, registri di accesso, audit, report di sicurezza e documentazione sugli incidenti, se vi siano state intrusioni, esfiltrazioni, vulnerabilità o accessi non autorizzati.

In caso di violazione imputabile al titolare e di danno effettivo, può venire in rilievo l’art. 82 GDPR. L’eventuale qualificazione dell’attività bancaria come attività pericolosa può essere valutata, secondo la concreta impostazione della domanda, anche in relazione all’art. 2050 c.c., ferma la necessità di dimostrare il nesso causale tra la carenza organizzativa o tecnica e il danno lamentato.

La diligenza tecnico-informatica

La diligenza dell’accorto banchiere comprende necessariamente la componente informatica.

L’istituto deve garantire che l’applicazione, il sito web, i sistemi di autenticazione e i collegamenti con i dispositivi siano progettati e mantenuti secondo adeguati standard di sicurezza. Particolare attenzione deve essere riservata alle vulnerabilità che consentano a un link esterno di simulare un aggiornamento, interferire con l’applicazione ufficiale o alterare la percezione del cliente circa ciò che sta accadendo.

Occorre, inoltre, verificare:

• la sicurezza della registrazione dei dispositivi;

• l’integrità degli aggiornamenti;

• la validità delle firme digitali dei pacchetti software;

• la presenza di controlli contro applicazioni o pagine contraffatte;

• la gestione delle sessioni;

• la protezione dei token di autenticazione;

• la tempestività delle patch;

• la capacità di riconoscere accessi simultanei o incompatibili;

• la disponibilità di procedure di emergenza e blocco.

L’inadeguatezza tecnica non deve essere valutata soltanto con riferimento al giorno della frode, ma anche alla luce dei rischi già conosciuti, delle vulnerabilità segnalate e dell’evoluzione delle tecniche di attacco.

Consapevolezza del rischio e alert rafforzati

La conoscenza da parte della banca dell’aumento delle frodi online costituisce un elemento rilevante nella valutazione della diligenza.

Se l’istituto ha pubblicato avvisi relativi a SMS falsi, numeri contraffatti, link malevoli e falsi operatori, ciò dimostra che il rischio era concreto e prevedibile. La comunicazione al cliente non esaurisce, tuttavia, gli obblighi della banca.

L’avviso di sicurezza deve essere accompagnato da presidi effettivi, quali:

• alert per nuovi accessi;

• notifica della registrazione di nuovi dispositivi;

• avviso per la modifica di numero telefonico o credenziali;

• conferma per l’inserimento di nuovi beneficiari;

• blocco o verifica dei bonifici istantanei di importo elevato;

• contatto diretto in presenza di operazioni incompatibili con il profilo;

• sospensione temporanea in caso di sequenze operative anomale.

Le avvertenze generiche non possono essere utilizzate per dimostrare automaticamente la colpa grave del cliente. Al contrario, se la banca conosce la diffusione di una determinata tecnica di frode, essa deve dimostrare di avere adeguato i propri sistemi a quel rischio.

Violazione delle condizioni contrattuali

Un ulteriore profilo può derivare dalla violazione delle condizioni contrattuali del servizio di internet banking.

Occorre verificare, in particolare:

• i limiti giornalieri di operatività;

• le soglie per singola disposizione;

• le modalità di superamento dei limiti;

• la necessità di un consenso espresso;

• le procedure di autenticazione rafforzata;

• gli obblighi di avviso al cliente;

• le condizioni applicabili ai bonifici istantanei;

• le clausole relative alla sospensione cautelare;

• le procedure di gestione delle operazioni disconosciute.

Se il contratto prevede un limite giornaliero e la banca consente operazioni eccedenti senza un’autorizzazione ulteriore o senza un alert rafforzato, la condotta può integrare un autonomo inadempimento contrattuale.

La verifica deve essere effettuata confrontando il testo contrattuale vigente al momento dei fatti con i dati tecnici relativi alle operazioni eseguite.

Profili processuali

La richiesta di esibizione ex art. 210 c.p.c.

Nei giudizi aventi a oggetto operazioni bancarie fraudolente, una parte essenziale della prova si trova nella disponibilità esclusiva dell’intermediario.

L’istanza ex art. 210 c.p.c. deve essere specifica, pertinente e motivata. Non dovrebbe essere formulata come richiesta esplorativa o generica di tutta la documentazione interna della banca, ma indicare i documenti necessari per verificare la concreta dinamica dell’operazione e la correttezza dei sistemi.

Possono essere richiesti, ove pertinenti:

1. il contratto di conto corrente e le condizioni del servizio di internet banking;

2. le condizioni applicabili ai bonifici istantanei;

3. i questionari di profilazione e di adeguata verifica della clientela;

4. gli estratti conto e le contabili delle operazioni contestate;

5. i log di accesso e di autenticazione in formato nativo;

6. gli indirizzi IP, i dati dei dispositivi e gli identificativi delle sessioni;

7. la cronologia della registrazione o modifica dei dispositivi;

8. i dati relativi alla generazione e validazione di OTP o altri fattori;

9. la documentazione sulle domande di sicurezza;

10. gli alert antifrode generati;

11. i report relativi alle anomalie e ai blocchi;

12. la cronologia delle comunicazioni inviate al cliente;

13. la documentazione tecnica relativa a eventuali malfunzionamenti;

14. la documentazione relativa alla gestione del reclamo;

15. i dati necessari a verificare il rispetto dei limiti contrattuali;

16. la documentazione sugli interventi antiriciclaggio, nei limiti in cui non sia coperta da specifici obblighi di riservatezza.

È opportuno chiedere che i log siano prodotti nel formato originario, con indicazione dei relativi sistemi di provenienza, dei metadati e degli strumenti utilizzati per garantirne l’integrità. Un semplice prospetto riepilogativo predisposto unilateralmente dalla banca può non essere sufficiente a ricostruire la sequenza degli eventi.

La richiesta deve essere collegata ai fatti controversi: occorre spiegare perché ciascun documento sia indispensabile per accertare l’autorizzazione, la regolarità tecnica, l’esistenza di anomalie o la condotta dell’utente.

I quesiti da formulare al CTU

La consulenza tecnica d’ufficio dovrebbe essere richiesta soltanto dopo l’acquisizione della documentazione tecnica necessaria. Il CTU non può sostituirsi alla parte nell’assolvimento dell’onere di allegazione e prova, né può ricostruire la frode in assenza dei dati indispensabili.

I quesiti possono essere formulati nei seguenti termini:

1. Ricostruisca il consulente la sequenza cronologica delle operazioni contestate, indicando data, ora, importo, canale, beneficiario e ogni ulteriore dato disponibile.

2. Verifichi quali dispositivi, indirizzi IP, sessioni e sistemi di autenticazione siano stati utilizzati per accedere al rapporto e disporre le operazioni.

3. Accerti se le operazioni risultino assistite da autenticazione forte e indichi quali fattori siano stati concretamente impiegati.

4. Verifichi se il sistema di autenticazione utilizzato presenti caratteristiche dinamiche e se sia collegato alla specifica operazione autorizzata.

5. Accerti se l’utilizzo di domande statiche di sicurezza sia tecnicamente idoneo a garantire un fattore di autenticazione sicuro e non facilmente acquisibile da terzi.

6. Verifichi la corrispondenza tra dispositivo, indirizzo IP, localizzazione, sessione e abituale operatività del cliente.

7. Accerti se risultino anomalie, accessi simultanei, cambi di dispositivo, modifiche delle credenziali, variazioni dei recapiti o altri eventi antecedenti alle disposizioni.

8. Verifichi se i sistemi antifrode abbiano generato alert e, in caso positivo, quale sia stata la gestione dell’alert.

9. Accerti se le operazioni, considerate singolarmente e complessivamente, presentino caratteristiche anomale rispetto alla precedente movimentazione del rapporto.

10. Verifichi la presenza di ripetizioni, frazionamenti, beneficiari nuovi, causali insolite, bonifici esteri o svuotamenti anomali.

11. Accerti se siano stati rispettati i limiti contrattuali di operatività e se eventuali superamenti abbiano richiesto un’autorizzazione ulteriore.

12. Verifichi se i sistemi informatici della banca abbiano evidenziato malfunzionamenti, eccezioni, vulnerabilità o anomalie durante la sessione.

13. Accerti se la documentazione tecnica prodotta sia completa, coerente, intelligibile e idonea a dimostrare la riconducibilità delle operazioni al cliente.

14. Verifichi se le procedure adottate dalla banca fossero conformi agli obblighi tecnici e organizzativi applicabili al momento dei fatti.

15. Accerti, nei limiti della documentazione disponibile, se le operazioni siano compatibili con il profilo economico, professionale e comportamentale del cliente.

16. Verifichi se la sequenza degli eventi sia compatibile con un accesso o un’interferenza da parte di soggetti terzi non autorizzati.

17. Accerti l’ammontare delle somme addebitate, quelle eventualmente recuperate e il saldo complessivo del pregiudizio patrimoniale.

I quesiti devono rimanere tecnici. La valutazione sulla sussistenza della colpa grave, sulla violazione di norme giuridiche o sulla responsabilità della banca spetta al giudice. Il consulente può accertare i dati tecnici e descrivere le anomalie, ma non deve essere chiamato a formulare conclusioni giuridiche.

Considerazioni finali

Le frodi bancarie online impongono di superare una concezione meramente formalistica dell’autorizzazione. La circostanza che il sistema abbia registrato l’utilizzo di una credenziale o di un dispositivo non dimostra, da sola, che il cliente abbia voluto l’operazione.

La responsabilità dell’intermediario deve essere valutata attraverso un esame complessivo della sicurezza: autenticazione, monitoraggio, analisi comportamentale, blocco delle operazioni anomale, protezione dei dati, obblighi antiriciclaggio, corretto funzionamento dell’applicazione e rispetto delle condizioni contrattuali.

Il punto decisivo è stabilire se la frode fosse, in concreto, fronteggiabile mediante lo sforzo diligente esigibile da una banca professionale. Quando la sequenza delle operazioni riveli anomalie macroscopiche e convergenti, la mancata attivazione di alert o blocchi cautelari può costituire un autonomo indice di responsabilità dell’istituto, anche qualora le disposizioni siano state tecnicamente elaborate attraverso credenziali riconducibili al cliente.