BOLZANO. Si chiude con un rimborso integrale la vicenda di un consumatore altoatesino caduto vittima di una truffa legata all’home banking. L’Arbitro Bancario Finanziario (Abf) ha accolto il ricorso presentato dal Centro tutela consumatori utenti (Ctcu) e ha riconosciuto al cliente il diritto alla restituzione dei 2.900 euro che gli erano stati sottratti. In precedenza la banca, un grande gruppo europeo che in Italia opera soprattutto online, aveva respinto il reclamo.

Anche in questo caso si è trattato di phishing, cioè di un raggiro con cui i truffatori ottengono l’accesso ai servizi bancari online della vittima per svuotarle il conto. La vicenda presenta però alcuni aspetti particolari.

L’accesso con la procedura “offline”

Secondo la ricostruzione della banca, i malviventi sono entrati nell’home banking con le credenziali del cliente. Non sono passati dalla consueta autenticazione tramite notifica push sullo smartphone, ma da una procedura alternativa chiamata “offline”. In questa modalità il computer genera un codice da inserire nell’app della banca, che a sua volta ne produce un secondo per autorizzare l’accesso.

Per i consulenti del Ctcu, i truffatori avrebbero sfruttato proprio questo meccanismo. Avrebbero contattato il cliente per telefono spacciandosi per dipendenti della banca e lo avrebbero convinto a generare i codici con la propria app e a comunicarli.

Il PIN cambiato con i dati della carta

C’è poi un secondo elemento che ha suscitato perplessità: il PIN di accesso all’home banking era stato modificato poco prima dei bonifici fraudolenti. Dalla documentazione risulta che all’epoca per cambiarlo bastavano i dati della carta di debito. Il Ctcu ha quindi messo in discussione la sicurezza della procedura e si è chiesto se sia corretto che i dati di una carta permettano di modificare un altro fattore di autenticazione, distinto e indipendente.

La prova spetta alla banca

L’esito del procedimento è stato deciso da un altro aspetto. La banca non è riuscita a documentare in modo adeguato tutti i passaggi dell’autenticazione forte del cliente (Sca, Strong Customer Authentication). In particolare non ha chiarito come siano stati inseriti e utilizzati i singoli codici nella procedura “offline”.

L’Abf ha ribadito che l’onere della prova ricade sulla banca: tocca all’istituto dimostrare che l’autenticazione è avvenuta correttamente. Se questa prova manca, non serve nemmeno valutare un’eventuale colpa grave del cliente. Di qui l’accoglimento integrale del ricorso.

Nel frattempo la banca ha rivisto le procedure per il ripristino dell’accesso ai servizi online e ha introdotto nuove misure di sicurezza, tra cui la verifica dei documenti d’identità e i controlli biometrici.

Falsi carabinieri e falsi agenti della Polizia postale

Il Ctcu segnala anche una nuova ondata di truffe telefoniche. I malintenzionati si presentano come appartenenti alle forze dell’ordine, per esempio la Polizia postale o i Carabinieri, e con scenari inventati ad arte convincono le vittime a fare bonifici. Possono sostenere, per esempio, che la banca della vittima sia sotto indagine e che il trasferimento di denaro serva come prova nell’inchiesta.

«Quando persone sconosciute che si presentano come dipendenti di una banca o agenti di polizia ci chiedono di comunicare codici, di accedere all’home banking o di installare un programma, è importante interrompere subito la conversazione e contattare direttamente l’istituto o l’ente interessato, utilizzando esclusivamente i suoi canali ufficiali», spiega Gunde Bauhofer, direttrice del Ctcu. Il consiglio è di non aprire mai l’app bancaria su richiesta di sconosciuti, per esempio per confermare transazioni, e di non lasciarsi mettere fretta. «Spesso i truffatori cercano di indurre le vittime ad agire d’impulso, creando ad arte un senso di urgenza. La diffidenza è la migliore forma di protezione contro le truffe».