La responsabilità degli istituti di credito per le truffe compiute tramite phishing.
Il phishing
Il phishing è un particolare tipo di truffa informatica che si realizza mediante l’invio di e-mail contenenti malware o link infetti. Le e-mail sono strutturate in modo ingannevole e vengono inviate al maggior numero possibile di persone, in attesa che una di esse “abbocchi” all’amo (da qui il termine phishing) e clicchi sul link o sull’allegato contenuto nella e-mail stessa.
Spesso il truffatore predispone la e-mail in modo che questa sembri provenire da istituti finanziari (banche o società emittenti di carte di credito) o da siti web che richiedono l’accesso previa registrazione (web-mail, e-commerce ecc.). In genere, la mail ingannevole lamenta problemi di registrazione o di accesso al servizio ed invita l’utente a cliccare su un link, il quale è anch’esso strutturato in modo da sembrare appartenente all’istituto di credito o al sito web, e immettere le proprie credenziali di accesso. Nel malaugurato caso in cui l’utente cada nella trappola ed immetta i propri dati riservati, questi entrano in possesso del truffatore, il quale li utilizza per effettuare prelevamenti o trasferimenti di denaro.
In altri casi, la truffa si realizza tramite l’induzione ad aprire allegati malevoli (i c.d. malware o virus informatici) contenuti nella e-mail, i quali “infettano” il computer e carpiscono i dati riservati del malcapitato. Anche in questo caso gli allegati sono strutturati in modo tale da ingannare l’utente e indurlo ad aprirli: ad esempio, possono essere false fatture, contravvenzioni o avvisi di consegna pacchi.
La responsabilità degli istituti di credito
Il tema della responsabilità per le truffe realizzate tramite phishing è piuttosto spinoso e dibattuto: può infatti ritenersi che le conseguenze dannose della truffa debbano essere attribuite unicamente all’incauto utente, colpevole di aver fornito spontaneamente i propri dati riservati ai truffatori, oppure che debbano essere attribuite agli istituti di credito, per non aver preso tutte le precauzioni necessarie per la protezione degli utenti dal rischio di truffe online.
La questione è dibattuta anche in giurisprudenza. In particolare, con la sentenza n. 7217/2023 la Corte di Cassazione si è pronunciata a favore degli istituti di credito, stabilendo che la responsabilità resta in capo all’incauto correntista, caduto vittima di phishing, ogniqualvolta la banca abbia adottato misure di sicurezza efficaci per impedire che ciò accadesse.
La vicenda riguardava un cliente della banca che, dopo essere caduto nella trappola del truffatore, aveva trovato sul proprio conto un bonifico telematico eseguito a favore di un terzo, da lui mai effettuato. Dopo una prima pronuncia favorevole al cliente, sia i giudici di appello che quelli di legittimità hanno sposato le ragioni dell’istituto, sottolineando che il cliente aveva fornito ai truffatori informatici le proprie credenziali di accesso in violazione di tutte le regole di prudenza e accortezza che ci si potrebbe aspettare dall’utente medio, anche non esperto di sistemi di sicurezza informatica. Infatti, in









