Frodi bancarie, la responsabilità è in capo agli istituti di credito

Nuova pronuncia il 12 maggio scorso, da parte della Prima Sezione Civile della Cassazione che ha respinto il ricorso di Unicredit, obbligando l’istituto a restituire 62.300 euro a un cliente vittima di SIM swapping:  quando si tratta di frodi bancarie, la responsabilità è dunque in capo agli istituti di credito.

Il caso esaminato

Il termine anglofono “SIM swapping” si riferisce all’atto di trasferire da una SIM card a un’altra la correlazione con il nostro numero di telefono, quindi, questo tipo di truffa va a infrangere la corrispondenza univoca tra la nostra “identità fisica” (la SIM) e la nostra “identità digitale” (il numero di telefono).

Un attacco di tipo SIM swapping è pericoloso perché rappresenta il primo passo verso la violazione degli account online della vittima, in quanto il numero di telefono ed il telefonino stesso sono ormai custodi di conti bancari, ma anche di app identitarie come pec e SPID, utilizzato come uno dei fattori necessari in scenari di autenticazione a due fattori (2FA).

Il caso oggetto del pronunciamento risale al lontano 2022, quando alcuni truffatori – dopo essersi impossessati dell’email e ottenuto il duplicato della SIM – hanno effettuato 13 bonifici notturni per una cifra totale di oltre 90.000 euro.

La vittima, accortasi piuttosto velocemente di movimenti  sospetti aveva tempestivamente provveduto a cambiare le credenziali ed allertare la banca, era riuscita a recuperare solo 28.000 euro.

Frodi bancarie, la responsabilità è in capo agli istituti di credito

La banca invece è stata condannata a restituire 62.300, l’intera cifra mancante. La principale motivazione esposta dalla Cassazione stabilisce che è la banca ad essere responsabile dell’importo sottratto in assenza di negligenza del cliente.

In aggiunta a ciò, sempre la Suprema corte ha ribadito quanto già pronunciato da precedenti sentenze, quando un cliente contesta un’operazione non autorizzata, spetta alla banca dimostrare che la transazione sia stata “autenticata, correttamente registrata e non influenzata da malfunzionamenti tecnici”, diversamente la semplice registrazione dell’operazione non può costituire una sufficiente prova che sussista una qualche autorizzazione da parte del correntista.

La Cassazione precisa, poi, che di certo è il cliente ad avere l’obbligo di segnalare immediatamente operazioni sospette, ma che è infine la banca a dover rimborsare l’intero importo in caso di transazioni non autorizzate, “a meno che non sussista grave negligenza” da parte dell’utente. Nel caso specifico, Unicredit non è riuscita a dimostrare alcuna colpa del correntista, dovendo quindi corrispondere il residuo.

La tecnologia a servizio della prevenzione e blocco frodi

I giudici hanno sottolineato come i progressi tecnologici, che rendono esposte e vulnerabili operazioni che prima si svolgevano solo direttamente allo sportello della banca per mano dell’operatore, oggi debbano essere messe a servizio della prevenzione e blocco frodi, permettendo di identificare anomalie comportamentali: “Non può considerarsi normale che un cliente che non opera mai di notte effettui improvvisamente numerose transazioni per importi elevati”. Delle 15 operazioni tentate, il sistema ne aveva bloccate due per superamento dei limiti.

La decisione conferma quanto stabilito in precedenza dal Tribunale di Milano nella recente sentenza che aveva visto sia la banca che Tim condannate in solido dal Tribunale di Milano per dei bonifici effettuati grazie ad una sim falsa, 163 mila euro i danni cagionati e poi risarciti.

La Corte di Cassazione aveva già ribadito lo scorso anno, con la sentenza n. 3780/2024, che devono essere le banche a rispondere di questi danni, a meno che non riescano a dimostrare di aver adottato tutte le misure tecniche adeguate a prevenire le frodi.

Sentenza che anch’essa è divenuta un importante punto di riferimento per i consumatori e gli operatori bancari, poiché la Suprema Corte si è anche pronunciata con una condanna in solido la banca (Bper) e l’operatore telefonico (Tim) per non aver bloccato una serie di bonifici truffa, per circa 163 mila euro, subìti da due aziende milanesi durante le vacanze di fine anno del 2020.

Le banche devono adottare misure di sicurezza adeguate

Nel pronunciamento si legge come si ribadisca il preciso compito delle banche adoperarsi per adottare misure di sicurezza adeguate, come l’autenticazione a due fattori e il monitoraggio delle transazioni sospette, per proteggere i loro clienti. In questa occasione la vicenda era inerente la vicenda di un correntista che, dopo aver ricevuto una e-mail fraudolenta apparentemente inviata da Poste Italiane SpA, aveva subito un prelievo non autorizzato di €2.900 dal proprio conto.

La banca ha inizialmente rifiutato di rimborsare l’importo sottratto, sostenendo che l’operazione fosse attribuibile al correntista. Secondo la Cassazione, le banche devono adottare tutte le misure necessarie per prevenire e mitigare i rischi legati alle frodi informatiche, rientrando queste nel rischio professionale dell’istituto. Qualora la banca non adotti queste misure, essa è tenuta a risarcire i danni subiti dai clienti.

Questo principio si allinea a una giurisprudenza ormai consolidata, secondo cui le banche sono responsabili per le frodi subite dai correntisti a meno che non possano dimostrare di aver adottato tutte le misure preventive richieste dal livello di diligenza tecnica di un “accorto banchiere”.

La responsabilità per la sicurezza dell’home banking è giuridicamente definibile come una responsabilità di tipo oggettivo, la banca può liberarsene solo provando che le operazioni contestate dal cliente sono dovute al suo specifico dolo o colpa grave.

Altri precedenti giuridici

Già in precedenza si era andati in questa direzione con la sentenza ass. Civ., Sez. I, Ord. n. 16417 del 20 maggio 2022. La mancata adozione di adeguati sistemi di sicurezza da parte delle Banche rischia di compromettere la sicurezza delle operazioni degli utenti che si accingono ad utilizzare strumenti elettronici home banking.

In continuità con quanto già stabilito dalla Corte di Cassazione in tema di responsabilità della Banca in caso di operazioni effettuate a mezzo di suppoorti elettronici, il Collegio, chiamato ad esprimersi sulla responsabilità contrattuale di una Banca a seguito di una truffa informatica subita da un proprio correntista avvenuta mediante la sottrazione illegittima, da parte di soggetti terzi, di una somma di denaro sul conto corrente, ha ritenuto la Banca responsabile del prelievo fraudolento poiché non era stata in grado di adottare particolari sistemi di allerta o di blocco delle operazioni, indispensabili per impedire il verificarsi dell’illecito.