Risparmi spariti in un click: troppi casi. Truffe informatiche nei sistemi di pagamento bancari: cosa sono e come difendersi

LECCE – I risparmi di una vita possono sparire in un click: avviene sempre più spesso, anche nel Salento. Tutti i risparmiatori sono avvertiti e tutti sono a rischio, se non si informano sui corretti comportamenti da tenere. Le controversie sugli utilizzi fraudolenti continuano a rappresentare una fetta importante del contenzioso bancario, anche stragiudiziale, innanzi all’Arbitro Bancario Finanziario (ABF), nonostante si stia assistendo a una lieve flessione, complice il maggiore impegno da parte degli Intermediari nel rafforzare i presidi di sicurezza dei pagamenti elettronici e, al contempo, l’accresciuta consapevolezza dei rischi connessi da parte della clientela.

Ne parliamo con il Professore Fernando Greco, docente di Diritto Privato e Diritto del Risparmio, presso il Dipartimento di Scienze Giuridiche dell’Università del Salento, già Vicepresidente del Collegio di Roma dell’Arbitro Bancario Finanziario (ABF), presso la Banca d’Italia, e attuale componente del Comitato degli operatori di mercato e degli investitori (COMI) presso CONSOB.

Professore, che cosa sono, innanzitutto, gli utilizzi fraudolenti?

“Gli utilizzi fraudolenti sono, sostanzialmente, delle frodi informatiche, finalizzate a carpire le credenziali di accesso ai servizi bancari online, per porre in essere operazioni non autorizzate dal cliente, per il tramite di canali diversi: chiamate, sms, email. Da qui, la classica tripartizione tra il più noto phishing (ovverosia, una richiesta via email destinata alla vittima, di inserire dati personali, attraverso un link a un sito, che, solitamente, rappresenta un clone perfetto di quello della propria banca), il vishing (è il “phishing per telefono”: i truffatori chiamano, fingendo di appartenere al call center di un Istituto di credito, avvertendo la potenziale vittima che è stata oggetto di un tentativo di truffa a scapito della propria carta di credito e, con questa scusa, cercano di ottenere le informazioni riservate) e lo smishing (ovverosia, ‘il phishing tramite messaggio di testo’: sullo smartphone viene visualizzato un sms con la richiesta di contattare un certo numero telefonico o di collegarsi a un determinato sito, solitamente un clone dell’originale, con l’obiettivo di carpire dati riservati).

Si assiste anche a una crescente sofisticazione delle frodi informatiche.

“È senz’altro vero. Purtroppo, al rafforzamento e all’affinamento dei presidi di sicurezza corrisponde una rielaborazione e una evoluzione delle tecniche fraudolente. Si pensi al c.d. ‘man in the browser’, un attacco tramite malware, che si interpone tra il device della vittima e il sistema della Banca, intercettando e modificando, in tempo reale, transazioni e pagine web: in buona sostanza, viene creata una pagina fake, che riproduce fedelmente quella originale dell’Intermediario, tramite la quale l’attaccante otterrà le credenziali per accedere al conto online.

Stesso discorso può essere fatto con riferimento a tutte le varianti dello spoofing, che, in buona sostanza, si verifica quando i truffatori camuffano la provenienza della email, dell’SMS o della telefonata, in modo da indurre a credere nella loro genuina autenticità. In questa categoria, rientra il c.d. ‘ID caller spoofing’,  nel quale viene sofisticato il numero del chiamante, rendendolo identico a quello effettivamente riconducibile all’Intermediario, per indurre il malcapitato a comunicare dati riservati e personali, porre in essere transazioni di denaro, compromettere lo stesso device.

Si tratta di tipologie di frodi informatiche particolarmente insidiose, sebbene diffuse; caratterizzazione che influisce anche sulla possibilità di ottenere il risarcimento del danno e recuperare, quindi, gli importi fraudolentemente sottratti”.

Come ci si può difendere da queste truffe?

“In queste circostanze, i consigli sono sempre gli stessi, ma, pur tuttavia, anche in considerazione del perpetrarsi di questi utilizzi fraudolenti, è sempre ottimale una loro riproposizione: prestare sicuramente attenzione alle comunicazioni ricevute, siano esse tramite chiamate, con messaggi di testo e/o per email; gli Intermediari non richiedono mai la rilevazione e la comunicazione di dati personali e riservati, afferenti a conti online e strumenti di pagamento. Le credenziali devono essere conservate scrupolosamente, così come con diligenza dovrebbe essere effettuato un periodico controllo delle movimentazioni bancarie, per rilevare e disconoscere tempestivamente eventuali operazioni non autorizzate. In secondo luogo, i messaggi cosiddetti ‘civetta’ contengono spesso errori sintattici o grammaticali: anche questi devono essere elementi di anomalia e di sospetto, che collidono con l’apparente autenticità.  

È importante diffondere e aumentare la consapevolezza nella clientela, anche per il tramite delle iniziative del Mese dell’Educazione Finanziaria, programmato ad ottobre, e con l’opera di sensibilizzazione continua posta in essere da Banca d’Italia; segnalo, a tal riguardo, ‘L’economia per tutti’, il portale di Banca d’Italia per la cultura finanziaria, che ha una apposita sezione dedicata ai pagamenti online e all’e-commerce. A tal proposito, mi sia consentito un riferimento anche a ‘Diritto del Risparmio’, il nostro Portale di informazione giuridica in diritto bancario, finanziario e assicurativo, che ha dedicata una voce della sua ‘rubrica’ proprio agli utilizzi fraudolenti, con la pubblicazione periodica di decisioni arbitrale e provvedimenti giurisprudenziali.

Cosa può fare la vittima di una frode informatica?​

“Sicuramente, disconoscere, senza indugio, l’operazione non autorizzata, comunicandolo al proprio Istituto di credito, nonché presentare formale denuncia all’Autorità giudiziaria, con una rassegna quanto più possibile circostanziata degli accadimenti. Se le interlocuzioni con l’Intermediario non dovessero condurre all’esito sperato, una soluzione potrebbe essere la proposizione di un ricorso innanzi all’Arbitro Bancario Finanziario, in considerazione del tecnicismo sotteso alla questione, delle tempistiche abbastanza veloci e dei costi della procedura estremamente contenuti; in alternativa, si può instaurare un classico giudizio ordinario.

La giurisprudenza è orientata nell’addossare il rischio di un utilizzo fraudolento in capo all’Intermediario, laddove questo non abbia adottato tutte le misure più idonee per contingentarlo e per verificare la riconducibilità delle operazioni all’effettiva volontà del cliente. Si parla, con un tecnicismo, di sistemi di doppia autenticazione forte, che consistono, sostanzialmente, nell’invio di quell’OTP che, ormai, è entrato di diritto nel linguaggio e nelle abitudini comuni: un codice provvisorio, generato nell’immediatezza della disposizione dell’operazione, che viene associato al tradizionale PIN”.

A conclusione di questa breve intervista, cosa si sente di dire alla platea di clienti?

“Nel comparto bancario, anche in base alla mia esperienza professionale, la diligenza deve andare di pari passo con la fiducia: una diligenza particolarmente elevata (quale quella che esige l’attuale regolamentazione) è senz’altro propedeutica per massimizzare la fiducia degli utenti, nell’affidabilità e nella sicurezza del sistema. E, mutuando una celebre affermazione di Warren Buffett, ‘La fiducia è come l’aria che respiriamo: quando è presente, nessuno se ne accorge davvero; quando è assente, tutti se ne accorgono’. È importante non perderla ed è importante meritarla, specie in tempi complessi come quelli che stiamo vivendo”.