Vishing bancario e spoofing: quando la banca risponde (e quando no)

Il meccanismo della truffa

Funziona così. Una telefonata arriva al direttore finanziario di un’impresa. Il numero visualizzato è quello della banca. La voce è professionale, convincente. C’è un problema urgente con il conto: un tentativo di accesso non autorizzato. Per bloccare il danno, il cliente deve autorizzare immediatamente un’operazione di sicurezza — trasferire i fondi su un conto “protetto”, comunicare le credenziali di accesso o un codice OTP. In pochi minuti, il conto viene svuotato.

Questo è il vishing (voice phishing) con spoofing del numero del chiamante. La tecnologia VoIP permette di falsificare qualsiasi numero di telefono — incluso quello della filiale della banca — con costi irrisori e senza lasciare tracce immediate. La banca è convinta di non averci nulla a che fare. Il cliente è convinto di essere stato tradito dalla banca. Chi ha ragione?

Il quadro normativo: la PSD2 e il D.Lgs. 11/2010

Il punto di partenza è la Direttiva Europea sui Servizi di Pagamento (PSD2), recepita in Italia con il D.Lgs. 27 gennaio 2010, n. 11. L’art. 10 del decreto stabilisce il principio fondamentale: il prestatore di servizi di pagamento — la banca — deve dimostrare che l’operazione contestata è stata autenticata correttamente, registrata e contabilizzata, e che non è stata inficiata da un malfunzionamento tecnico o da altri inconvenienti.

In altre parole: se il cliente contesta un’operazione non autorizzata, non è il cliente a dover provare di non averla disposta. È la banca a dover provare il contrario. L’onere probatorio, in base alla PSD2, è invertito. Questo è il punto tecnico-giuridico più importante e spesso ignorato nei rifiuti di rimborso opposti dagli istituti di credito.

La colpa grave: il punto più controverso

La banca, tuttavia, può respingere la richiesta di rimborso dimostrando che il cliente ha agito con dolo o colpa grave. La colpa grave è il punto di scontro principale in questi procedimenti. Gli istituti tendono a sostenere che comunicare le credenziali o un OTP a un truffatore costituisce sempre colpa grave. Non è così.

La giurisprudenza — e l’ABF (Arbitro Bancario Finanziario) in numerosi provvedimenti — ha chiarito che la valutazione della colpa grave deve tenere conto della sofisticazione dell’attacco, delle informazioni in possesso del truffatore, della verosimiglianza della comunicazione e del contesto in cui l’utente ha agito. Un imprenditore che riceve una telefonata da un numero uguale a quello della propria banca, con un interlocutore che conosce il suo nome, il saldo del conto e i movimenti recenti, e che lo avverte di un’emergenza imminente, non necessariamente agisce con colpa grave quando collabora. La situazione di urgenza indotta artificialmente, la perfetta imitazione del numero del chiamante e la conoscenza di dati riservati da parte del truffatore sono elementi che le corti iniziano a valutare a favore del danneggiato.

Il ruolo dello spoofing del numero

Lo spoofing del numero chiamante è la chiave tecnica di queste truffe. Non è una tecnica di hacking sofisticata: è disponibile commercialmente, è relativamente semplice da implementare e sfrutta una vulnerabilità strutturale del protocollo telefonico. La banca non può tecnicamente impedire che il proprio numero venga clonato da un terzo.

Ma questo non la esime da responsabilità. La banca che non ha attivato sistemi di autenticazione forte (SCA — Strong Customer Authentication) richiesti dalla PSD2 per le operazioni a rischio, o che non ha predisposto sistemi di rilevamento delle anomalie comportamentali sulle transazioni, o che non ha avvertito la clientela del fenomeno con adeguate campagne informative, può vedersi attribuire una quota di responsabilità.

I rimedi: da dove iniziare

Il percorso giuridico tipico per chi ha subito una truffa di questo tipo prevede tre fasi, che devono essere eseguite nell’ordine corretto.

1. Denuncia penale

Va presentata immediatamente, sia per documentare il fatto sia perché la querela è condizione di procedibilità per molti reati informatici correlati (frode informatica, accesso abusivo, sostituzione di persona). La denuncia crea anche un precedente documentale utile nei procedimenti civili e stragiudiziali.

2. Ricorso all’ABF

L’Arbitro Bancario Finanziario è il primo rimedio stragiudiziale da azionare. Non richiede l’assistenza di un avvocato, ha costi minimi e i suoi orientamenti — favorevoli al cliente in un numero crescente di casi di vishing — possono essere utilizzati come leva negoziale con la banca, anche qualora il pronunciamento non sia seguito. Attenzione: il ricorso all’ABF è condizione di procedibilità per la successiva azione giudiziale.

3. Azione civile

Se l’ABF non riconosce il rimborso o la banca non vi si conforma, l’azione civile davanti al giudice competente è il passo successivo. La scelta del foro è rilevante: i contratti bancari spesso prevedono clausole di foro esclusivo (es. il Tribunale della sede della banca) che in alcuni casi possono essere contestate, specialmente quando il cliente non riveste la qualità di consumatore.

Cosa tenere da parte fin dal primo momento

• Il numero di telefono del chiamante (screenshot della cronologia chiamate)
• I messaggi SMS o e-mail ricevuti in correlazione con la telefonata
• Gli estratti conto che documentano le operazioni non autorizzate
• Qualsiasi comunicazione successiva con la banca (e-mail, lettere, PEC)
• L’eventuale risposta di rifiuto al rimborso, che deve essere motivata