Banca Dati della Giurisprudenza Civile

La Banca Dati gratuita "autoalimentata" dagli utenti di Diritto Pratico!

Legenda colori:

Corte di Cassazione

Corte d'Appello

Tribunale

Giudice di Pace

già visionate

appuntate

Corte d'Appello di L'Aquila, Sentenza n. 286/2025 del 22-09-2025

... In particolare con il primo motivo di reclamo, la banca ha censurato il capo di sentenza nella parte in cui, impropriamente evocando il principio dell'immutabilità della contestazione, ha disatteso i rilievi della banca in merito alle giustificazioni addotte dal lavoratore, evidenziando l'inerzia che ha caratterizzato il comportamento del medesimo, che, a fronte delle insistenti, reiterate e veementi richieste telefoniche di un perfetto sconosciuto, circa dati sensibili riguardanti la clientela, ha omesso di segnalare ai superiori gerarchici il tentativo di phishing subito, avendo ritenuto il primo giudice trattarsi di fatti non specificamente addebitati al ricorrente. Con il secondo motivo di reclamo la ### ha censurato la sentenza, nella parte in cui ha ritenuto attendibile la prova testimoniale, confermativa della versione dei fatti fornita dal ### e ha attribuito valenza giustificativa alla stessa, del tutto inverosimile e illogica, a fronte delle gravi condotte, violative degli obblighi negoziali, contestate all'ex dipendente. Con il terzo motivo di gravame, la banca ha ulteriormente censurato la sentenza nella parte in cui, pur riconoscendo la sussistenza dell'elemento oggettivo e (leggi tutto)...

testo integrale

###  IN NOME DEL POPOLO ITALIANO CORTE DI APPELLO DI L'#### e ###    N. R.G. 248/2024  La Corte di Appello di L'#### e ### composta dai seguenti magistrati: dr. ###               Presidente   dr. ###     ### relatore        dr. ### Cesare         Consigliere  all'esito dell'udienza del 5 giugno 2025 ha pronunciato la seguente  SENTENZA con contestuale motivazione  nella causa in grado di appello TRA  ### assistita e difesa dall'Avv. ### e dall'avv.  ###                                      ### E  ### assistito e difeso dall'Avv.  ###   ### avente ad oggetto : reclamo avverso la sentenza n. 157/2024 in data 9 maggio 2024 del Tribunale di Vasto in funzione di Giudice del lavoro Con la sentenza indicata in epigrafe il ### di ### ha così statuito: “rigetta l'opposizione e, per l'effetto, conferma l'ordinanza n. 317/2023 del 02.05.2023 emessa dal ### di ### in funzione di Giudice del ### nel procedimento recante n. R.G.  18/2023 e, per l'ulteriore effetto, annulla, in quanto illegittimo, il licenziamento comminato da parte opponente a parte opposta in data ### e condanna parte opponente alla reintegra di parte opposta nel posto di lavoro ed al pagamento, in favore di parte opposta, di un'indennità risarcitoria commisurata all'ultima retribuzione globale di fatto dal giorno del licenziamento sino a quello dell'effettiva reintegrazione, in ogni caso non superiore a dodici mensilità, oltre interessi e rivalutazione monetaria dal dì del diritto al soddisfo come per legge, nonché al versamento dei contributi previdenziali ed assistenziali dal giorno del licenziamento fino a quello della effettiva reintegrazione, maggiorati degli interessi nella pag. 2/12 misura legale, senza applicazione di sanzioni per omessa o ritardata contribuzione; - condanna parte opponente al pagamento, in favore di parte opposta, delle spese di lite, che liquida in € 7.380,00 oltre spese generali al 15%, IVA e CPA come per legge, da distrarsi in favore del procuratore dichiaratosi antistatario”. 
In particolare, ### dipendente della ### con inquadramento nella categoria dei ### CCNL per i quadri direttivi e per il personale delle aree professionali dipendenti dalle imprese creditizie, finanziarie e strumentali, con ricorso ex art. 1, co. 48, l.  92/2012 aveva impugnato il licenziamento per giusta causa, intimatogli dalla datrice il 28 dicembre 2022, per aver egli effettuato, presso la filiale di ### ag. 1 di cui era titolare, 361 interrogazioni in anagrafiche riferite a clienti di altre filiali, senza alcuna apparente motivazione, tutte caratterizzate da evidenti anomalie, anche per le modalità temporali, in quanto concentrate in quattro giornate (3, 4, 7 ed 11 ottobre 2022) e riguardanti in molti casi l'esecuzione in stretta successione cronologica delle transazioni “ricerca anagrafica censiti” e “inquiry per ndg”. 
All'esito della fase sommaria, con ordinanza in data 2 maggio 2023, il ### ha ritenuto che le giustificazioni del ### fossero tali da escludere una rilevante gravità del fatto e che la condotta del lavoratore avrebbe al più meritato una sanzione conservativa, così annullando il recesso datoriale, reintegrando il ricorrente nel posto di lavoro e condannando la datrice al pagamento dell'indennità risarcitoria. 
Con la sentenza n. 157/2024 oggi reclamata, era respinta l'opposizione della ### In particolare il ### ha spiegato che il ### direttore della filiale di ### sarebbe stato destinatario di un tentativo di phishing da parte di un soggetto che, contattandolo telefonicamente presentandosi falsamente come maresciallo ### in servizio presso la ### dei carabinieri di ### gli chiedeva di eseguire verifiche anagrafiche necessarie per accertare presunti illeciti commessi ai danni di clienti della banca. Conseguentemente, il dipendente, preoccupato dei possibili risvolti pregiudizievoli per i clienti della filiale, pur negando di poter fornire dati, prima dell'intervento dell'autorità giudiziaria, si faceva lasciare l'elenco dei nominativi dei clienti coinvolti e, per molti di questi, anche il numero della carta di debito rinvenuta, procedendo quindi ad eseguire le interrogazioni nei giorni stessi delle telefonate (3.10, 4.10, 7.10 e 11.10). A rendere verosimile il tentativo di phishing avrebbero contribuito una concomitante richiesta di collaborazione da parte dei veri ### di ### in data 3 ottobre, seguita, il giorno dopo, da una visita del maresciallo ### e del capitano ### presso la filiale, nel corso della quale i militari avrebbero confermato di aver chiamato in filiale il giorno prima, oltre al fatto che la chiamata del malfattore risultava provenire da numero telefonico del tutto similare a quello della effettiva ### dei ### di ### e che sul profilo whatsapp del cellulare utilizzato in altra occasione sempre dal malfattore appariva l'immagine di un carabiniere in uniforme. 
Avverso la suindicata sentenza, pubblicata in data 9 maggio 2024, ha proposto reclamo la ### spa con ricorso depositato in data 3 giugno 2024, chiedendone la riforma e concludendo per sentir “1. dichiarare legittimo il licenziamento intimato per giusta causa al pag. 3/12 Sig. ### in data 28 dicembre 2022; 2. conseguentemente, annullare la sentenza del 09/05/2024 n. 157/2024, emessa inter partes dal ### di ### in funzione di Giudice del lavoro, dott. ### a definizione del procedimento contraddistinto col n. RG 239/2023; 3. condannare il ricorrente al pagamento delle spese di lite e alla restituzione delle spese liquidate in suo favore nel precedente giudizio di primo grado”. 
In particolare con il primo motivo di reclamo, la banca ha censurato il capo di sentenza nella parte in cui, impropriamente evocando il principio dell'immutabilità della contestazione, ha disatteso i rilievi della banca in merito alle giustificazioni addotte dal lavoratore, evidenziando l'inerzia che ha caratterizzato il comportamento del medesimo, che, a fronte delle insistenti, reiterate e veementi richieste telefoniche di un perfetto sconosciuto, circa dati sensibili riguardanti la clientela, ha omesso di segnalare ai superiori gerarchici il tentativo di phishing subito, avendo ritenuto il primo giudice trattarsi di fatti non specificamente addebitati al ricorrente. 
Con il secondo motivo di reclamo la ### ha censurato la sentenza, nella parte in cui ha ritenuto attendibile la prova testimoniale, confermativa della versione dei fatti fornita dal ### e ha attribuito valenza giustificativa alla stessa, del tutto inverosimile e illogica, a fronte delle gravi condotte, violative degli obblighi negoziali, contestate all'ex dipendente. 
Con il terzo motivo di gravame, la banca ha ulteriormente censurato la sentenza nella parte in cui, pur riconoscendo la sussistenza dell'elemento oggettivo e materiale dell'illecito disciplinare per cui è causa (vale a dire l'accesso alle informazioni anagrafiche della clientela della banca, mediante l'effettuazione di interrogazioni anagrafiche indebite), ha erroneamente ritenuto l'elemento soggettivo, caratterizzato dall'assoluta buona fede del lavoratore - tratto in inganno dal malfattore, presentatosi come maresciallo ### dei ### - non tale da sostenere una irrimediabile lesione del rapporto fiduciario, al punto da concretizzare una giusta causa di recesso, risultando il complessivo disvalore della condotta contestata sensibilmente ridimensionato e, pertanto, non congruo con la massima sanzione espulsiva comminata da parte opponente. 
Con il quarto ed ultimo motivo di reclamo, la ### ha infine censurato la sentenza nella parte in cui, previa ricognizione dell'art. 48 - provvedimenti disciplinari, ### che non contempla alcun catalogo di infrazioni e/o esemplificazioni delle stesse, ricollegabili alle sanzioni elencate - aderendo all'orientamento giurisprudenziale secondo cui: “in tema di licenziamento disciplinare, al fine di selezionare la tutela applicabile tra quelle previste dall'art. 18, commi 4 e 5, della i. n. 300 del 1970, come novellato dalla i. n. 92 del 2012, il giudice può sussumere la condotta addebitata al lavoratore, e in concreto accertata giudizialmente, nella previsione contrattuale che, con clausola generale ed elastica, punisca l'illecito con sanzione conservativa, né detta operazione di interpretazione e sussunzione trasmoda nel giudizio di proporzionalità della sanzione rispetto al fatto contestato, restando nei limiti dell'attuazione del principio di proporzionalità, come eseguito dalle parti sociali attraverso la previsione del contratto collettivo” (Cass. n. 11655/2022; Cass. n. 20780/2022; pag. 4/12 Cass. n. 13065/2022; Cass. n. 12745/2022; Cass. n. 5599/2023), ha annullato il licenziamento e reintegrato il lavoratore ai sensi dell'art. 18, iv comma, l. 300/1970. 
Si è costituito in giudizio ### contestando ogni motivo di gravame e chiedendone il rigetto. 
All'odierna udienza, dopo aver esperito il tentativo di conciliazione, la causa è stata riservata per la decisione. 
I motivi di reclamo sono fondati e meritano accoglimento. 
Non è in contestazione anzi è pacifico che ### quale direttore di agenzia, come risulta dal verbale redatto a seguito della ispezione dell'### di ### ha effettuato, nei quattro giorni del 3, 4, 7 e 11 ottobre 2022, n. 361 accessi, raggruppati per data e riguardanti n. 178 ndg censiti presso 63 dipendenze, diverse da quella di ### di sua responsabilità. Risulta altresì che ignoti malviventi hanno poi perpetrato truffe per un importo di euro 64.942,50 ai danni di 18 dei clienti, i cui dati erano stati indebitamente consultati. 
Se ne dà atto nella stessa sentenza di primo grado dove si afferma “E' acclarato, quindi, che il dipendente, in servizio come direttore presso la filiale di ### ag. 1 della banca opponente, nel periodo compreso tra il ### ed il ### ha effettuato un elevato numero di interrogazioni anagrafiche (361) su clienti di altre filiali della banca, già destinatari di truffa o tentativi di truffa, in stretta successione cronologica, tanto in relazione ai giorni, quanto in relazione agli orari, con modalità anomale e in difformità da quanto prescritto dalla prassi aziendale, in particolare in assenza della dovuta richiesta da parte dell'autorità giudiziaria”. 
Il primo giudice tuttavia ha ritenuto giustificata la condotta contestata al lavoratore, confermando la versione dei fatti offerta dal medesimo, con riguardo tanto all'evoluzione cronologica della vicenda, quanto alle ragioni che lo avrebbero indotto a realizzare la condotta addebitata con modalità anomale e incongrue.  ### il ### le risultanze istruttorie avrebbero comprovato che il lavoratore è stato effettivamente destinatario di un tentativo di phishing, così come sopra descritto ed abbia ritenuto di agire tempestivamente, nell'interesse della clientela, facendosi indicare dal soggetto che riteneva fosse un vero pubblico ufficiale, i nominativi e i numeri di carta di debito dei clienti asseritamente coinvolti, eseguendo, quindi, le relative interrogazioni anagrafiche, attraverso l'inserimento nella ### del nome e del cognome dei clienti e/o del n.d.g. (ossia del numero identificativo assegnato al cliente all'atto del primo censimento presso la banca ed associato al numero della carta di pagamento rinvenuta) e risalendo unicamente alle informazioni riguardanti le filiali di appartenenza dei clienti presuntivamente coinvolti nella asserita frode. ### in errore del dipendente, secondo il primo giudice, sarebbe risultata “rafforzata dalla concomitante richiesta di collaborazione ricevuta dai veri carabinieri della ### di ### a mezzo di interlocuzione telefonica avvenuta tra il maresciallo ### e il ### proprio il giorno 03.10 (la telefonata aveva ad oggetto la richiesta di fissazione di un appuntamento per tale ###, cui ha fatto seguito, il giorno successivo (04.10), la visita in filiale del maresciallo pag. 5/12 ### e del suo collega, capitano ### i quali si sarebbero recati a conoscere il nuovo direttore di persona, visita durante la quale lo stesso maresciallo dei carabinieri “non ha escluso” di aver dato conferma al ### della telefonata del giorno precedente, sebbene, evidentemente, riferendosi alla telefonata avente ad oggetto la reale richiesta di collaborazione da parte del vero maresciallo, che dal ### è stata ragionevolmente scambiata per conferma alla telefonata avente ad oggetto la richiesta di interrogazione anagrafica da parte del falso maresciallo ### A ciò si aggiunga la già menzionata circostanza che il numero di telefono di provenienza delle telefonate ricevute dal ### da parte del malfattore, il sedicente maresciallo ### coincideva con quello della ### dei ### di ### e che il numero di telefono mobile indicato dallo stesso malfattore al ### come suo numero personale recava un'immagine di profilo whatsapp raffigurante un carabiniere in uniforme”. 
Il primo giudice pertanto ha ritenuto che “pur non essendo revocabile in dubbio l'elemento oggettivo e materiale dell'illecito disciplinare per cui è causa (accesso alle informazioni anagrafiche della clientela della banca mediante l'effettuazione di interrogazioni anagrafiche indebite), l'elemento soggettivo, come desumibile dall'inganno in cui il lavoratore è stato tratto e dall'acclarata buona fede di quest'ultimo alla base della condotta contestata, non appare tale da sostenere una irrimediabile lesione del rapporto fiduciario che connota il sinallagma negoziale, al punto da concretizzare una giusta causa di recesso, anche tenuto conto della qualifica ricoperta dal dipendente (direttore di filiale), del suo stato di servizio e dell'assenza di recidiva o precedenti contestazioni disciplinari di sorta. In altri termini, il complessivo disvalore della condotta contestata, valutato alla stregua di tutte le circostanze del caso concreto, oggettive e soggettive, risulta sensibilmente ridimensionato e, pertanto, non può ritenersi congruo con la massima sanzione espulsiva comminata da parte opponente, di talché il licenziamento per cui è causa è da reputarsi illegittimo”.  ### il primo giudice - esclusa la rilevanza delle condotte relative all'inerzia del dipendente per aver omesso di informare la banca, tramite i canali e con le procedure prescritte nei regolamenti interni, in merito ai sospetti di phishing nonché di segnalare gli stessi ai superiori, perché non oggetto di specifiche contestazioni - la concomitanza e lo stretto e coincidente arco temporale in cui le circostanze sopra descritte si sono verificate, aventi come protagonista il sedicente maresciallo ### avrebbero concorso a trarre in inganno il lavoratore sulla veridicità e legittimità della richiesta ricevuta, sì da indurlo, sia pure in violazione delle procedure formali che avrebbe dovuto osservare e in assenza di formali richieste dalla ### e, in generale, dall'autorità giudiziaria, ad effettuare le indebite interrogazioni anagrafiche contestate. 
Tanto premesso, procedendo con la valutazione dei motivi di gravame, trattati congiuntamente perché strettamente connessi, occorre preliminarmente rilevare che, diversamente dal giudice di primo grado, ritiene questo Collegio che non vi sia stata alcuna violazione del principio di immutabilità della contestazione, dovendosi escludere che il datore di lavoro, a sostegno della legittimità del licenziamento, abbia addotto circostanze nuove pag. 6/12 rispetto a quelle originariamente indicate, atteso che, nel caso in esame, l'addebito è rimasto quello di avere il ### eseguito accessi abusivi all'anagrafe dei clienti della banca, attraverso l'effettuazione 361 interrogazioni anagrafiche indebite, ingiustificate ed anomale. 
Rispetto al detto addebito, le circostanze evidenziate dalla banca nelle proprie difese, relative al fatto che il dipendente sarebbe rimasto inerte, omettendo di informare l'istituto di credito, tramite i canali e con le procedure prescritte dai regolamenti interni aziendali, in merito ai casi sospetti di phishing e comunque omettendo di segnalare immediatamente ai superiori gerarchici il tentativo di phishing subito, integrano, in questa sede, elementi significativi in base ai quali valutare le giustificazioni addotte dal lavoratore, la fondatezza e l'idoneità delle medesime ad escludere ogni profilo soggettivo dell'illecito disciplinare. 
Tanto più che la stessa datrice di lavoro ha effettivamente provveduto a dar rilievo a tali fatti nuovi, a mezzo di una seconda contestazione disciplinare, recante la data del 22.05.2023, successiva alla reintegra nel posto di lavoro del dipendente, dalla quale è scaturito un nuovo procedimento disciplinare a carico di quest'ultimo. 
Nello specifico, deve escludersi che il dipendente possa addurre, a giustificazione delle indebite interrogazioni anagrafiche operate, integranti un inadempimento della propria prestazione di lavoro, condotte connotate a loro volta da ulteriore rilievo disciplinare e consistite nell'aver continuato ad avere rapporti personali con il sedicente maresciallo ### senza informare la banca o segnalare la vicenda ai superiori. 
A fronte della indebita esecuzione delle 361 interrogazioni anagrafiche ingiustificate ed anomale, tra il 4 e l'11 ottobre, è lo stesso lavoratore che, nelle sue difese, riferisce di aver invitato il maresciallo “a trasmettere presso la filiale una richiesta scritta delle informazioni che gli occorrevano, accompagnata dal provvedimento di autorizzazione della ### della Repubblica competente, assicurando che, ricevuti tali documenti, avrei fornito pronta risposta e inoltrato ed informato gli uffici competenti della ### dell'accaduto; questi mi ha manifestato la necessità di procedere con urgenza per scongiurare il compimento di eventuali atti illeciti da parte di terze persone e mi ha, quindi, indicato i nominativi di presunti clienti della banca coinvolti, una quarantina circa”, aggiungendo altresì che, solo dopo essere rientrato da un periodo di malattia e appreso che nessuno era venuto in filiale e che non era pervenuta alcuna richiesta scritta da parte dei carabinieri, né tantomeno il provvedimento dell'autorità giudiziaria,”nei giorni 27, 28 e 31 ottobre ho ripetutamente cercato di contattare il numero fornitomi dal collega, per conoscere gli sviluppi della questione relativa alle carte di pagamento”, infine che, solo nella tarda mattinata del 31 ottobre, insospettito dalla risposta ricevuta, si era recato personalmente presso la caserma dei ### di ### apprendendo della inesistenza di tale maresciallo ### e che nessuno in servizio presso la ### lo aveva contattato. 
Ha poi precisato che “E' stato a quel punto chiaro che tutte le telefonate ricevute in filiale erano artefatte e provenivano da persone estranee alle forze dell'ordine, spiegando i carabinieri di ### che, tramite delle semplici app, è possibile per i malfattori, durante le telefonate, fare apparire sul dispositivo del destinatario un numero diverso da quello pag. 7/12 effettivo, finanche in tutto simile a quello della caserma stessa, così comprendendo ogni fraintendimento verificatosi a partire dalla mattinata del 4 ottobre 2022”. 
In primo luogo, stride l'urgenza e la necessità di intervenire nell'immediatezza e di acquisire le informazioni, così come prospettate e ribadite nelle telefonate del sedicente maresciallo ### sotto le date del 3, 4, 7 e 10 ottobre, con l'evidenza, che doveva essere chiara anche al ### che non veniva emesso e recapitato alcun provvedimento della ### della Repubblica, né di autorizzazione ad acquisire le informazioni necessarie e neppure di semplice delega di indagini. 
Anzi è emerso che, anche in data 13 ottobre, trascorsi ormai 10 giorni dalla prima telefonata, il fantomatico maresciallo ### - come riferito dal teste ### vice-direttore della filiale di ### - chiamava in filiale e chiedeva di parlare con il direttore ### assente per malattia, insistendo per poter avere il numero di cellulare personale dello stesso, che però non veniva fornito. Lo stesso ### era informato della chiamata del maresciallo ### dallo stesso ### con un messaggio whatsapp del seguente tenore (cfr. doc. n. 9 fascicolo parte ricorrente fase sommaria) “… Ha chiamato un certo ### chiedendo informazioni per dei titoli sequestrati dei quali non sappiamo nulla… ### ha richiamato questo ### che vuole con insistenza il mio nome… Ma chi è?”, cui seguono le risposte “### passare. Un'indagine su carte prepagate rubate”. 
Il teste ### ha così spiegato il tenore dei messaggi scambiati “### questa è la conversazione che ho avuto su whatsapp con ### il 13 ottobre. Ora che leggo i messaggi, ricordo che tale ### mi aveva parlato di ciò che leggo nel messaggio… dopo la prima chiamata, lo stesso soggetto ha chiamato nuovamente in filiale, e ha risposto una collega, al quale tale ### ha chiesto di poter avere il mio nome, ma la collega non gliel'ha riferito. La collega che ha ricevuto la seconda chiamata mi ha poi messo a conoscenza della circostanza, sicché ho inviato al ### il secondo messaggio che si legge nel doc. 9”. 
A sua volta la teste ### l'impiegata con la quale aveva parlato il maresciallo ### ha riferito che “Ad una di queste telefonate ho risposto io, in particolare il soggetto si è identificato come ### o ### ora non ricordo, il quale mi ha chiesto di riferirgli il nome del mio vicedirettore in maniera scortese, cosa che io non ho fatto; quando io ho chiesto a lui di riferirmi il suo nome, si è rifiutato e maleducatamente mi ha risposto che non era tenuto a fornirmelo e poi mi ha attaccato il telefono in faccia. Dopodiché, ho riferito al vicedirettore ### di aver ricevuto questa chiamata. Non ho riferito della chiamata anche al direttore perché mi pare di ricordare che quel giorno non ci fosse, e se ci fosse stato gli avrei riferito della chiamata”. 
Tanto basta per ritenere ragionevolmente che, per quanto il ### abbia potuto in una primissima fase fare affidamento sull'appartenenza all'### dei ### da parte del soggetto che al telefono si presentava come maresciallo ### - per quanto avrebbe dovuto insorgere qualche sospetto, visto che mai si era presentato di persona in filiale e che continuava a sollecitare informazioni mediante telefonate - non vi è dubbio che già in data 13 ottobre si profilava il carattere anomalo delle modalità di azione del predetto maresciallo pag. 8/12 ### che continuava a telefonare in filiale, addirittura per avere il numero di cellulare del direttore ### ed ancora il 27 ottobre continuava a contattare ### ormai rientrato dalla malattia, senza aver provveduto fino ad allora ad esibire alcun provvedimento dell'autorità giudiziaria, quando erano ormai trascorsi quasi 30 giorni dalla prima telefonata, ben conoscendo il ### l'esatta evoluzione della vicenda e ben sapendo di aver lui stesso, in tale contesto, operato, tra il 3 e l'11 ottobre, indebite interrogazioni anagrafiche.  ### la disciplina interna, infatti, il ### non poteva procedere ad interrogazioni relative soggetti non presenti nella compagine dei clienti della filiale, salvo richiesta formulata di persona dal cliente, presente in filiale, se correntista di altra agenzia, essendo pacifico il divieto di consultare dati riguardanti clienti di altra succursale, custoditi nell'anagrafica della banca. 
Anche i teti escussi hanno confermato tale circostanza, spiegando altresì che la procedura di accesso ai dati della clientela, attraverso la consultazione dell'anagrafica clienti, è più articolata e macchinosa rispetto alla procedura attivabile con l'applicativo informatico CRM (###, che consente una immediata verifica dei nominativi censiti presso la filiale di ### con la differenza che tramite la consultazione dell'anagrafica della ### si accede a più dati e ad un maggior numero di informazioni riferibili alla clientela. 
In particolare il teste #### del ### per tutte le filiali del gruppo, in casi di frodi interne o esterne, ha dichiarato che in alternativa alla consultazione dell'anagrafica della ### il ### “avrebbe potuto usare il ### che è un sistema integrato più complesso all'interno del sistema sales force, nella schermata principale c'è una barra di ricerca in cui è possibile inserire il nominativo del cliente, si ottengono le stesse informazioni dall'anagrafe e dal CRM”, chiarendo altresì che l'indagine da lui stesso svolta ha avuto avvio a seguito di segnalazioni di phishing da parte di clienti, nel corso della quale veniva accertato che il ### aveva utilizzato l'anagrafe e non il ### per compiere le interrogazioni, confermando di aver condotto lui stesso l'investigazione. 
I testi ### e ### quest'ultima ### di compliance, hanno anche spiegato che, quando vengono compiuti accessi connessi ad operazioni bancarie quali la lettura di un estratto conto, l'estrazione in formato digitale di un estratto o di una copia di un bonifico, oppure un deposito titoli si attiva un alert, mentre se si accede soltanto all'anagrafica, il sistema di alert non si attiva. 
Tanto precisato, il fatto che, rispetto alle prime telefonate intervenute tra il 3 e l'11 ottobre, in concomitanza delle quali il ### aveva già compiuto i 361 accessi nell'anagrafica, alla data del 31 ottobre nessun maresciallo ### si era mai presentato personalmente in filiale ad esporre i fatti, né era più intervenuto - per quanto preannunciato - alcun provvedimento della ### della Repubblica o di altra ### giudiziaria, mentre continuavano a pervenire in filiale richieste telefoniche di informazioni, sempre da parte del soggetto che si qualificava come maresciallo dei ### è all'evidenza significativo di una condizione soggettiva del direttore della filiale, che, diversamente da quanto ritenuto dal primo giudice, non è pag. 9/12 riconducibile ad uno stato di affidamento e buona fede, ben sapendo il ### di aver già proceduto con interrogazioni anomale e non consentite, difficilmente interpretabili come finalizzate a salvaguardare la clientela, se la ### continuava ad essere mantenuta all'oscuro, omettendo il dipendente di informare la banca, tramite i canali e con le procedure prescritte nei regolamenti interni, non risultando alcuna comunicazione o interlocuzione da parte del medesimo, almeno fino alla data del 31 ottobre. 
A ciò si aggiunge l'ulteriore circostanza che la ### è dotata di una specifica struttura organizzativa interna, denominata ### con l'### giudiziaria, a ciò deputata, della quale il dipendente, quale direttore di filiale, non poteva non essere al corrente. 
Come si legge nel verbale di ### della ### in data ###, “le verifiche non hanno preso le mosse da alert in corso d'opera, tantomeno da segnalazione dell'interessato, bensì dalle notizie provenienti dai reclami di clienti in relazione a numerosi casi di frode attraverso “phishing/vishing”. 
I testi escussi, in particolare ### e ### hanno riferito che era infatti accaduto che malfattori, contattando telefonicamente i clienti e presentandosi come presunti “operatori Bper”, riuscivano a convincere i predetti a fornire informazioni attinenti carte di pagamento di loro titolarità, così effettuando acquisti sul circuito pagobancomat e prelevamenti di contante. 
Perciò la ### aveva avviato approfondimenti, per identificare eventuali interrogazioni anagrafiche anomale sui dati dei clienti medesimi ed in particolare sui numeri telefonici, rilevando accessi non autorizzati da parte di un titolare di filiale, riguardanti interrogazioni in “anagrafe generale” su dati riferiti a clienti in carico a filiali diverse dalla sua. 
Il teste ### ha spiegato che “le carte venivano rubate e poi i malintenzionati contattavano i clienti per ottenerne i dati personali e poter operare con le carte. Sono state rubate centinaia di carte … La logica del nostro intervento è stata quella di capire come i malintenzionati avessero ottenuto i dati personali dei clienti, sicché ci siamo accorti delle interrogazioni. Nel caso specifico, gli accessi effettuati dal ### li abbiamo ritenuti incoerenti perché le interrogazioni riguardavano clienti di varie regioni”.  ### del ### che nei primi giorni di ottobre riceve telefonate da parte di un soggetto che si presenta come maresciallo ### dei ### di ### e, cadendo nell'errore di avere rapporti con un vero militare dell'### e di dover cooperare con le forze dell'ordine, si adopera in buona fede e procede con interrogazioni non autorizzate del sistema, avrebbe potuto trovare una attenuante circoscritta alle fasi iniziali della vicenda nelle giornate tra il 3 e il 4 ottobre - per quanto già dovessero profilarsi dubbi ed interrogativi sull'esigenza di approfondire e chiarire la situazione - comunque fin quando non sono cominciati ad emergere aspetti, tra cui la reiterazione delle telefonate anche nei giorni 7 e 11 e in quelli successivi fino al 27 ottobre, con le modalità sopra descritte, che, al contrario, avrebbero dovuto far sorgere sospetti sempre più fondati ed incalzanti, a cui invece ha corrisposto l'assoluta inerzia del direttore della filiale. 
Non è in discussione il grave inadempimento contrattuale consistito nell'avere il dipendente operato 361 interrogazioni indebite sull'anagrafica aziendale, rispetto al quale l'essere incorso pag. 10/12 nell'errore di collaborare con un falso maresciallo dei ### può descrivere i motivi in ragione dei quali il direttore della filiale di ### si è determinato ad agire - vale a dire le ragioni che lo hanno indotto a realizzare la condotta addebitata - ma non giustifica la condotta posta in essere, sia perchè, per le circostanze e per le modalità in cui si è realizzata, avrebbe potuto essere evitata utilizzando l'ordinaria diligenza - nella specie, attendendo l'intervento dell'autorità giudiziaria ovvero utilizzando il sistema CRM - sia perché altri e diversi comportamenti e accorgimenti avrebbero dovuto intervenire, ben esigibili dal dipendente e conformi ai regolamenti e alle prescrizioni datoriali - tra cui segnalare ed informare la ### centrale i superiori delle numerose telefonate e del contenuto delle stesse, ricevute dal sedicente maresciallo ### mai seguite, nell'arco di un mese, dai preannunciati imminenti provvedimenti dell'autorità giudiziaria, continuando al contrario il medesimo a mantenere rapporti personali con l'interlocutore. 
In definitiva nè si pone un problema di previa contestazione disciplinare, tenuto conto che la mancanza addebitata al ### resta quella di aver operato interrogazioni anagrafiche indebite, nè tale addebito è venuto meno per effetto di una condizione di buona fede del dipendente o perché tratto in inganno da una condotta criminosa altrui, avendo egli stesso adottato un comportamento non conforme alle direttive aziendali ed agli obblighi derivanti dal contratto di lavoro. 
In assenza di alert del sistema, la ### ha ricostruito i fatti di causa, conducendo indagini a posteriori sui dati registrati dal sistema aziendale di tracciamento delle operazioni bancarie, sistema predisposto in attuazione del provvedimento del ### per la protezione dei dati personali n. 192 del 2011 e reso operativo previa stipula dell'accordo sindacale del 29 settembre 2014, prescritto dall'art. 4 l. n. 300 del 1970, nell'assoluta inerzia del ### almeno fino alla data del 31 ottobre. 
Il solo dato significativo emerso è che solo in tale data, a distanza di circa un mese dagli episodi verificatisi dal 4 all'11 ottobre 2022, contestati al medesimo, il predetto si sarebbe determinato a chiedere informazioni circa il maresciallo ### al ### della ### dei ### di #### il quale, sentito come teste ha riferito “### che qualche settimana dopo il nostro incontro davanti alla banca di ### il ### è venuto in caserma e mi ha riferito di aver ricevuto, non so se sul telefono della banca o sul suo personale, delle telefonate da un certo ### io gli ho risposto che non esiste nessun ### e l'ho invitato a raccogliere tutta la documentazione e a sporgere denuncia così da riuscire a tracciare le telefonate. […] Preciso che il ### non è più tornato a sporgere denuncia, quantomeno non presso la stazione dei carabinieri di Vasto”. 
Non convince quanto affermato al riguardo dal ### nelle sue difese - “…ho quindi chiesto di poter presentare denuncia dell'accaduto ma (a dire il vero con mio stupore) mi è stato riferito che, non ritenendo i militari che fossero stati compiuti reati perseguibili, la denuncia era superflua” - cioè che le forze dell'ordine lo avrebbero dissuaso dal presentare la detta denuncia, essendo tenuti per legge a ricevere denunce da chiunque ne manifesti l'intenzione.  pag. 11/12 Neppure convincono, nella versione dei fatti offerta dal ### le modalità riferite dallo stesso con le quali, il giorno dopo la prima telefonata, in occasione di un incontro avuto con il comandante uscente ### e quello entrante ### fuori dalla filiale di ### si sarebbe rafforzato l'equivoco sulla reale appartenenza del soggetto, presentatosi come maresciallo ### all'### dei carabinieri, atteso che il comandante ### sentito come teste, ha riferito “Non ricordo se il giorno dopo o qualche giorno dopo e fuori dalla banca abbiamo incontrato il ### al quale abbiamo confermato l'appuntamento della signora ### già preso durante la telefonata…” riferendosi dunque all'appuntamento della signora ### - riguardante una modifica del rapporto di conto corrente e cioè la revoca della delega conferita al marito per operare sul suo conto - e non certo ad indagini della ### su carte di credito. Anche il capitano ### sentito come teste, ha ricordato che, in occasione del predetto incontro davanti alla ### il fine era semplicemente quello di presentarsi al direttore della filiale e che “durante quell'incontro, ### non ci ha domandato se fossimo stati noi a chiamarlo il giorno precedente; non abbiamo parlato di alcuna chiamata, ci siamo limitati a presentarci” ed ancora “ dopo l'incontro con il ### del 4/10/2022 non l'ho più visto né sentito”. 
Richiamati pertanto tutti i principi già riportati nella sentenza di primo grado in tema di licenziamento per giusta causa, anche a fronte dell'inganno proveniente da un soggetto qualificatosi come maresciallo dei ### ed evidenziate le numerose anomalie, lacune, così come omissioni sopra illustrate, che hanno contrassegnato la condotta del ### a fronte di incalzanti telefonate da parte di un soggetto che qualificatosi come maresciallo dei ### mai si era presentato in filiale personalmente, mai aveva esibito - pur preannunciandoli - provvedimenti dell'### giudiziaria o deleghe di indagine, pur continuando per telefono a richiedere dati riservati e coperti da privacy, non compatibili con una condizione di buona fede, tenuto conto della qualifica ricoperta dal dipendente (direttore di filiale)e del grado di affidabilità richiestogli in ragione dell'elevato livello di inquadramento (#### , resta impregiudicato il complessivo disvalore della condotta contestata ed affatto ridimensionato. Tenuto conto del fatto che le interrogazioni operate sono da ritenere oltre che abusive ed operate fuori di ogni ragione di servizio, anche anomale per le modalità temporali (in quattro diversi giorni nell'arco di una settimana) e per la frequenza (ben 361), con la conseguenza che deve ritenersi congrua la massima sanzione esplusiva, comminata da ### In definitiva dunque, in riforma della sentenza reclamata e ritenuto assorbito ogni ulteriore motivo, va rigettato il ricorso in primo grado formulato da ### Le spese, per il doppio grado di giudizio, seguono la soccombenza e sono liquidate come da dispositivo.  P.Q.M.  In riforma della sentenza impugnata, - ### il ricorso formulato in primo grado da ### pag. 12/12 - ### alla rifusione in favore di ### spa delle spese del doppio grado, che liquida, per compensi professionali, per il primo grado in € 3.290 per la fase sommaria e in € 3.810 per la fase di opposizione e, per il secondo grado, in € 3.473, oltre, per ciascun grado e fase, spese generali, i.v.a. qualora dovuta e c.p.a.  come per legge.  ### est. #### n. 248/2024

causa n. 248/2024 R.G. - Giudice/firmatari: Fabrizio Riga, Anna Maria Tracanna

Giudice di Pace di Torino, Sentenza n. 1868/2025 del 07-07-2025

... seguito della ricezione di una email fraudolenta di phishing, recante marchi e riferimenti ### con invito all'inserimento di credenziali in un sito apparentemente autentico. In particolare, la convenuta allegava di non avere mai ricevuto sul proprio cellulare i codici OTP (### che, secondo le procedure di sicurezza, avrebbero dovuto essere inviati tramite SMS per autorizzare i bonifici in questione. Sottolineava inoltre che ### non aveva fornito alcuna prova documentale o tecnica dell'avvenuto invio dei suddetti codici OTP sul numero di cellulare associato all'home banking, e che quindi non risultava dimostrata l'autenticazione delle operazioni contestate. MOTIVI DELLA DECISIONE La domanda di parte attrice è infondata e va rigettata. Il punto centrale della controversia riguarda la legittimità del rimborso di € 4.993,92 effettuato da ### in favore della propria cliente, sig.ra ### per operazioni non riconosciute, e la successiva richiesta di restituzione della medesima somma da parte della banca, che ha ritenuto di attribuire la responsabilità dell'accaduto alla condotta dell'utente. ###. 10 del d.lgs. 27 gennaio 2010, n. 11, stabilisce che: "Qualora un utilizzatore neghi di aver (leggi tutto)...

testo integrale

REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO IL GIUDICE DI PACE DI TORINO nella persona della dott.ssa ### ha pronunciato la seguente SENTENZA nella causa civile iscritta al n. R.G. 14132/2020 TRA ### S.p.A., in persona del legale rappresentante pro tempore, con sede ###### via ### n. 8/20, P.IVA ###, rappresentata e difesa dall'avv. ####.ra ### , CF ###, rappresentata e difesa dall'avv. ### Per parte attrice: - accertarsi la legittimità della richiesta di restituzione delle somme rimborsate alla convenuta per operazioni ritenute inizialmente non autorizzate e successivamente rivalutate come effettuate con colpa grave dell'utente; - condannarsi la convenuta alla restituzione della somma di € 4.993,92, oltre interessi e spese. Per parte convenuta: - rigettarsi integralmente la domanda attorea, per infondatezza in fatto e in diritto; - con vittoria di spese. ### atto di citazione ritualmente notificato ### S.p.A. conveniva in giudizio la propria cliente, sig.ra ### deducendo che, a seguito di denuncia sporta dalla stessa per l'esecuzione di operazioni dispositive online non autorizzate, aveva provveduto al rimborso dell'importo complessivo di € 4.993,92, salvo poi, a seguito di accertamenti interni, ritenere che dette operazioni fossero state rese possibili per comportamento colposo della cliente, richiedendo pertanto la restituzione della somma rimborsata. La convenuta si costituiva deducendo l'infondatezza della domanda. Esponeva che i bonifici contestati erano stati eseguiti a sua insaputa da terzi soggetti, a seguito della ricezione di una email fraudolenta di phishing, recante marchi e riferimenti ### con invito all'inserimento di credenziali in un sito apparentemente autentico. In particolare, la convenuta allegava di non avere mai ricevuto sul proprio cellulare i codici OTP (### che, secondo le procedure di sicurezza, avrebbero dovuto essere inviati tramite SMS per autorizzare i bonifici in questione. Sottolineava inoltre che ### non aveva fornito alcuna prova documentale o tecnica dell'avvenuto invio dei suddetti codici OTP sul numero di cellulare associato all'home banking, e che quindi non risultava dimostrata l'autenticazione delle operazioni contestate. MOTIVI DELLA DECISIONE La domanda di parte attrice è infondata e va rigettata. Il punto centrale della controversia riguarda la legittimità del rimborso di € 4.993,92 effettuato da ### in favore della propria cliente, sig.ra ### per operazioni non riconosciute, e la successiva richiesta di restituzione della medesima somma da parte della banca, che ha ritenuto di attribuire la responsabilità dell'accaduto alla condotta dell'utente. ###. 10 del d.lgs. 27 gennaio 2010, n. 11, stabilisce che: "Qualora un utilizzatore neghi di aver autorizzato un'operazione di pagamento già eseguita, è onere del prestatore di servizi di pagamento provare che l'operazione è stata autenticata, correttamente registrata e contabilizzata e non ha subito l'influenza di un malfunzionamento o altro inconveniente." Nel caso di specie, la convenuta ha contestato la riconducibilità a sé delle operazioni di bonifico eseguite in data ###sostenendo di non aver mai ricevuto i codici OTP necessari per autorizzare i pagamenti e di aver agito in buona fede dopo aver ricevuto un'email fraudolenta ### che imitava in modo ingannevole la comunicazione ufficiale della banca. È dunque onere della banca dimostrare l'avvenuta trasmissione dei codici OTP sul dispositivo associato all'utenza della cliente, come pure l'effettiva autenticazione delle operazioni. Tale prova non è stata fornita: non risulta depositata in atti né copia degli SMS trasmessi né documentazione tecnica che attesti il buon funzionamento del sistema di invio dei codici. La giurisprudenza della Corte di Cassazione, in linea con i principi del diritto europeo in materia di pagamenti elettronici, ha più volte ribadito che: "Spetta al prestatore di servizi di pagamento dimostrare che l'operazione è stata autorizzata, e in difetto, deve procedere al rimborso immediato dell'importo, salvo che provi il dolo o la colpa grave del cliente" (Cass. civ. n. 9158/2018; Cass. civ. n. 25306/2020). Inoltre, è stato affermato che: "La mancata ricezione del codice OTP da parte dell'utente costituisce elemento decisivo per ritenere l'operazione non autorizzata" (Trib. Milano, sent. 2599/2023; ### Verona, sent. 1646/2022). Nel caso in esame, in assenza della prova dell'invio e ricezione degli ### e in presenza di una dinamica tipica di frode tramite phishing, non è configurabile alcuna condotta connotata da colpa grave in capo alla cliente, e deve dunque ritenersi corretta la condotta di rimborso posta inizialmente in essere da ### Non vi è pertanto alcun titolo giuridico che legittimi la richiesta di restituzione dell'importo di € 4.993,92, già corrisposto dalla banca, la quale non può opporre una revoca unilaterale del proprio rimborso, in assenza di elementi oggettivi che provino il comportamento gravemente negligente dell'utente. P.Q.M. Il Giudice di ### di ### definitivamente pronunciando, così provvede: -Rigetta la domanda di ### S.p.A.; -### S.p.A. alla rifusione delle spese di lite in favore della convenuta, che liquida in € 1.265,00 per compensi professionali, oltre ### CPA e spese generali 15% come per legge. ### 7.7.2025

Il Giudice
di ###ssa

causa n. 14132/2020 R.G. - Giudice/firmatari: Giuliana Bologna

Tribunale di Napoli, Sentenza n. 9478/2024 del 06-11-2024

... € 19.800,00. Contattava dunque immediatamente la banca e successivamente provvedeva a querelare l'accaduto alla locale stazione dei ### Su reclamo della correntista, la banca provvedeva ad accreditare sul suo conto corrente la somma di € 19.800,00 ma, dopo alcuni giorni, senza alcuna autorizzazione, la banca prelevava la medesima somma dal conto corrente, richiamando il punto B della dichiarazione sottoscritta dalla ### il ###. ### quanto esposto, la ### non aveva richiesto l'attivazione del “bonifico istantaneo” ed inoltre le operazioni in favore di un medesimo beneficiario (####, in favore di un unico conto corrente (### ES###) tenuto presso la medesima banca (### corrispondente al ### s.a. ### 4 ### dovevano essere inibite dalla banca poiché superavano la soglia massima consentita per i bonifici istantanei di € 15.000,00. In aggiunta la banca inviava la comunicazione del rigetto del reclamo/disconoscimento con la ricostruzione della vicenda ad un indirizzo diverso da quello della correntista, violando gravemente la privacy della stessa, quanto alla truffa subita ed ai dettagli dei fatti accaduti. In ragione di quanto esposto, parte attrice concludeva chiedendo di “A. (leggi tutto)...

testo integrale

SENTENZA 1 ### nome del Popolo Italiano Il Tribunale di Napoli, seconda sezione civile, in funzione monocratica, in persona del Giudice dott.ssa ### ha pronunziato la seguente SENTENZA nel giudizio iscritto al n. 9265/2020 r.g. tra ### (C.F. ####) rappresentata e difesa giusta procura alle liti agli atti dall'avv. ### (C.F. ###) e dall'avv. ### (C.F. ###) presso il cui studio in Napoli alla ### n. 26 elettivamente domicilia. - Attrice e ### S.P.A. (C.F. ###) in persona del legale rappresentante p.t., rappresentata e difesa giusta procura alle liti agli atti dall'avv. ### (C.F. ###) ed elettivamente domiciliat ###Napoli alla via ### del Popolo n. 22. - ###: le parti concludevano come da verbale del 26.06.2024. MOTIVI DELLA DECISIONE Con atto di citazione regolarmente notificato, ### adiva l'intestato Tribunale al fine di sentir condannare ### S.p.A. al risarcimento dei danni patrimoniali e non patrimoniali subiti. A fondamento della propria domanda, l'istante esponeva di essere titolare del conto corrente n. 66171 1000 ### tenuto presso l'istituto di credito ### con servizio di internet banking. ### quanto asserito, il 13 maggio 2019 alle ore 17.00 circa, l'attrice riscontrava sulla propria SENTENZA 2 casella di posta elettronica la presenza di una e-mail, apparentemente proveniente da ### denominata “Avviso - ### numero”, con la quale veniva invitata ad aprire un link per certificare il proprio numero telefonico, al fine di provvedere alla sostituzione del metodo di accesso al proprio internet banking. Pertanto, l'attrice digitava il proprio numero di telefonia mobile onde sostituire la chiavetta O-### A questo punto, senza aver mai digitato le tre password necessarie, accedeva al proprio internet banking e visualizzava un messaggio di bonifico sospetto di € 9.900,00 con invito, per bloccarlo, a digitare subito il codice che le perveniva via sms. Digitato quindi due volte il codice, si avvedeva che dal proprio conto corrente erano stati effettuati due bonifici su conto corrente ES### intestato a ### per complessivi € 19.800,00. Contattava dunque immediatamente la banca e successivamente provvedeva a querelare l'accaduto alla locale stazione dei ### Su reclamo della correntista, la banca provvedeva ad accreditare sul suo conto corrente la somma di € 19.800,00 ma, dopo alcuni giorni, senza alcuna autorizzazione, la banca prelevava la medesima somma dal conto corrente, richiamando il punto B della dichiarazione sottoscritta dalla ### il ###. ### quanto esposto, la ### non aveva richiesto l'attivazione del “bonifico istantaneo” ed inoltre le operazioni in favore di un medesimo beneficiario (####, in favore di un unico conto corrente (### ES###) tenuto presso la medesima banca (### corrispondente al ### s.a. ### 4 ### dovevano essere inibite dalla banca poiché superavano la soglia massima consentita per i bonifici istantanei di € 15.000,00. In aggiunta la banca inviava la comunicazione del rigetto del reclamo/disconoscimento con la ricostruzione della vicenda ad un indirizzo diverso da quello della correntista, violando gravemente la privacy della stessa, quanto alla truffa subita ed ai dettagli dei fatti accaduti. In ragione di quanto esposto, parte attrice concludeva chiedendo di “A. Accertare e dichiarare la responsabilità della convenuta derivante da ciascuno dei comportamenti/omissioni posti in essere, dettagliatamente evidenziati in premessa, per i danni patrimoniali e non patrimoniali cagionati; B. Per l'effetto condannare la convenuta al risarcimento in favore dell'istante di tutti i danni patrimoniali e non SENTENZA 3 patrimoniali, allo stato quantificati nella misura di € 49.800,00, come sopra specificati, ovvero nella diversa somma maggiore o minore che sarà ritenuta equa; C. Condannare la convenuta alla rifusione delle spese e compensi professionali calcolati ex D.M. 55/14 e successive modificazioni, con attribuzione ai sottoscritti procuratori antistatari che rendono le dichiarazioni di ### D. Ai sensi dell'art. 8, comma 4 bis d.lgs. 28/2010, preso atto della mancata partecipazione della convenuta senza giustificato motivo al procedimento di mediazione, desunti argomenti di prova, condannare banca #### al versamento all'entrata del bilancio dello Stato di una somma di importo corrispondente al contributo unificato dovuto per il giudizio”. Si costituiva in giudizio ### S.p.A., la quale preliminarmente contestava quanto asserito dall'attrice precisando che a far data dal 21/11/2017 il rapporto per cui è causa veniva implementato mediante l'introduzione del bonifico istantaneo e tale variazione contrattuale veniva preannunciata alla dott.ssa ### in occasione della trasmissione dell'estratto conto alla data del 30/09/2017, perfezionandosi con il mancato esercizio del diritto di recesso entro il termine di legge. Ulteriormente, si chiariva che per il funzionamento del sistema “###” è necessario che il cliente comunichi alla ### un numero telefonico mobile, utilizzato per l'invio di codici di sicurezza. ### inserimento delle credenziali personali, per espressa previsione contrattuale, autorizza la ### ad eseguire le operazioni in quanto comprova la riferibilità al cliente delle stesse, e ciò anche in ragione dell'espresso obbligo assunto dal cliente di custodire tali credenziali con la massima diligenza e, comunque, mantenerle segrete, come espressamente previsto sia dalle previsioni contrattuali accettate dal cliente in occasione della sottoscrizione del contratto di ### sia dalle prescrizioni operative contenute nella “### al ### di banca online” che la banca mette a disposizione dei propri clienti mediante pubblicazione sul proprio sito internet. Nella fattispecie per cui è causa, secondo quanto asserito dalla convenuta, tutte le operazioni di bonifico contestate avvenivano mediante il corretto ed esatto inserimento delle credenziali di accesso al conto, ossia: del ###, del PIN e degli ulteriori codici OTP ed ### Ebbene, la banca, dopo aver verificato la correttezza e la legittimità delle operazioni contestate - in quanto tutte seguite previo corretto inserimento delle credenziali di accesso al conto on line dell'attrice - provvedeva ad addebitare sul conto SENTENZA 4 dell'attrice l'importo di € 19.800,00 previa specifica comunicazione ed inoltre riscontrava negativamente l'ulteriore reclamo che, nelle more, era stato inviato dal legale dell'attrice con pec del 30/05/2019. Si precisava che tale ultimo reclamo non risultava sottoscritto dall'attrice né, tantomeno, allo stesso era stato allegato il mandato professionale e per tali motivi l'istituto di credito riteneva opportuno spedire il suo riscontro direttamente presso l'indirizzo che l'attrice aveva comunicato in occasione della sottoscrizione del contratto di My key. In conclusione, la convenuta domandava il rigetto delle domande attoree poiché inammissibili ed infondate ed in subordine l'accertamento del concorso di colpa dell'attrice nella produzione del danno richiesto in risarcimento. Ammesse le parti al deposito delle memorie ex art. 183 sesto comma c.p.c., la causa veniva istruita con interrogatorio formale di parte attrice e l'escussione di tre testi, all'esito della quale il giudice rinviava per la precisazione delle conclusioni, ritenendo la causa matura per la decisione. In data ### la presente causa veniva assegnata alla scrivente e successivamente, in data ###, la stessa veniva trattenuta in decisione con concessione dei termini di cui all'art. 190 c.p.c. per il deposito delle comparse conclusionali e delle memorie di replica. Ciò posto, giova premettere che, come chiarito dalla giurisprudenza di merito, le principali truffe legate all'utilizzo di carte di pagamento sono individuabili nello skimming e nel phishing (cfr. Tribunale Roma sez. XVII, 25/06/2019, n.13442). Lo “skimming” consiste in una tecnica mediante la quale con l'utilizzo di uno skimmer (apparecchio per la lettura e la memorizzazione dei contenuti presenti sulle bande magnetiche delle carte elettroniche), il truffatore entra in possesso dei dati delle carte di pagamento, codice PIN incluso (in caso di bancomat o carta di credito multifunzione): tale tipologia è basata materialmente sulla clonazione di carte di credito, carte di debito, ecc. Il “phishing”, invece, è una tecnica fraudolenta online con cui, grazie all'invio di false e-mail o sms, spesso in tutto simili a quelle inviate da istituti emittenti o noti siti e- commerce, il truffatore entra in possesso del numero di carta di credito, codice segreto, dati personali del titolare della carta e credenziali di accesso al sistema di utilizzo del conto on line. Il phishing identifica, dunque, principalmente, le truffe basate su transazioni online non autorizzate dal titolare. Di recente, proprio per l'abuso della tecnica dell'e-mail” fasulla”, si è diffusa la tecnica del cd. “smishing”, evoluzione del SENTENZA 5 secondo fenomeno che utilizza quale sistema per la trasmissione dei dati i messaggi di testo che giungono sullo smartphone: il messaggio si presenta come proveniente da una società nota e con simboli e modalità tipiche della loro messaggistica, inducendo il ricevente a fidarsi, e utilizza tecniche di pressione psicologica (trattasi ad esempio di messaggi che informano l'utente che il suo account bancario è stato violato o bloccato) che portano l'utente a rivelare le proprie credenziali e i propri dati. Quanto alla disciplina applicabile alla fattispecie in esame, mette conto evidenziare che il decreto legislativo n. 11 del 27 gennaio 2010 di “### della direttiva 2007/64/CE, relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 97/7/CE, 2002/65/CE, 2005/60/CE, 2006/48/CE, e che abroga la direttiva 97/5/CE”, all'art. 10, comma 2, rubricato “### di autenticazione ed esecuzione delle operazioni di pagamento”, così come modificato dal d.lgs. 218/2017, statuisce che: “### l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, non è di per se' necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utente medesimo, ne' che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all'articolo 7. È onere del prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornire la prova della frode, del dolo o della colpa grave dell'utente”. ### 7 lett. b), con riferimento agli obblighi previsti in capo all'utilizzatore dei servizi di pagamento prevede altresì l'obbligo di “comunicare senza indugio, secondo le modalità previste nel contratto quadro, al prestatore di servizi di pagamento o al soggetto da questo indicato lo smarrimento, il furto, l'appropriazione indebita o l'uso non autorizzato dello strumento non appena ne viene a conoscenza”. Quanto invece alla responsabilità del pagatore per l'utilizzo non autorizzato di strumenti o servizi di pagamento, l'art. 12 al comma 1, dispone che “### il caso in cui abbia agito in modo fraudolento, l'utilizzatore non sopporta alcuna perdita derivante dall'utilizzo di uno strumento di pagamento smarrito, sottratto o utilizzato indebitamente intervenuto dopo la comunicazione eseguita ai sensi dell'articolo 7, comma 1, lettera b)”. SENTENZA 6 Alla luce del quadro normativo di cui innanzi, in caso di operazioni effettuate a mezzo di strumenti elettronici, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema, la possibilità di un'utilizzazione dei codici di accesso al sistema da parte dei terzi non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo, deve ricondursi nell'area del rischio professionale del prestatore dei servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente. Da ciò consegue che, l'erogatore di servizi, cui è richiesta una diligenza di natura tecnica, da valutarsi con il parametro dell'accorto banchiere, è tenuto a fornire la prova della riconducibilità dell'operazione al cliente per andare esente da responsabilità. Come evidenziato in piu' occasioni dalla Corte di Cassazione “la responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell'utilizzazione illecita dei relativi codici da parte di terzi, va esclusa se ricorre una situazione di colpa grave dell'utente configurabile, ad esempio, nel caso di protratta attesa prima di comunicare l'uso non autorizzato dello strumento di pagamento ma il riparto degli oneri probatori posto a carico delle parti segue il regime della responsabilità contrattuale. Mentre, pertanto, il cliente è tenuto soltanto a provare la fonte del proprio diritto ed il termine di scadenza, il debitore, cioè la banca, deve provare il fatto estintivo dell'altrui pretesa, sicché non può omettere la verifica dell'adozione delle misure atte a garantire la sicurezza del servizio. Ne consegue che, essendo la possibilità della sottrazione dei codici al correntista attraverso tecniche fraudolente una eventualità rientrante nel rischio d'impresa, la banca per liberarsi dalla propria responsabilità, deve dimostrare la sopravvenienza di eventi che si collochino al di là dello sforzo diligente richiesto al debitore (v. Cass sent. 3780/2024 e conforme ex multis v. Cass.2916/2020 , n. 2950 /2017; 18045/2019; n. 26916 /2020). Pertanto, qualora si verifichi un accesso non autorizzato o l'impiego dei dati raccolti per finalità non conformi alla legge, il prestatore del servizio per andare esente da responsabilità non deve solo dimostrare di aver adottato tutte le misure idonee ad evitare il danno, ma è altresì tenuto a fornire la prova positiva di una causa esterna. Può trattarsi di fatto naturale, di fatto del terzo o di fatto dello stesso danneggiato che, per SENTENZA 7 imprevedibilità ed inevitabilità, sfugge alla sfera di controllo dell'esercente l'attività pericolosa” (Tribunale Parma sez. I, 06/09/2018, n.1268; ### sez. II, 04/02/2019, n.200). Orbene, applicando i principi suddetti alla fattispecie de qua, emerge chiaramente che le operazioni eseguite dalla banca in data 13 maggio 2019 sono state autorizzate senza le dovute misure di cautela e senza assicurarsi - come doverosamente richiesto al bonus argentarius - che le disposizioni provenissero dal titolare del conto. Deve pertanto ritenersi provato che l'attrice sia stata vittima di un'attività smishing date le caratteristiche della mail ricevuta e del suo contenuto, in quanto tali da indurre la ### a cliccare sul link fornendo per certificare il proprio numero di telefono e inserire i codici che la stessa banca inviava , utilizzati poi illegittimamente da terzi per effettuare due bonifici della somma complessiva di € 19.800,00 in favore di ### su conto corrente ES###. Quanto, poi, alla dedotta condotta colposa della parte attrice, che avrebbe omesso di tenere un comportamento vigile di fronte alla mail apparentemente riconducibile alla banca di richiesta di inserimento dei propri codici, va rilevato quanto indicato dalla schermata mail prodotta in allegato all'atto di citazione (vd. all. 1 memoria parte attrice 2 ex art. 183 sesto comma c.p.c.). Suddetta e-mail, infatti, proveniva da “####”, dove la dicitura “no reply”, è proprio tipica delle comunicazioni delle imprese bancarie, ed invitava ad accedere al link per certificare il numero di telefono, al fine di evitare che il conto venisse disabilitato non essendo più utilizzabile la chiavetta “O-key”. Tale messaggio ben poteva indurre in errore la titolare della posta elettronica, della cui esperienza in materia bancaria o informatica non si è dato prova da parte della convenuta e tenuto che la mail che non presentava errori o anomalie nel testo tali da poter configurare un comportamento colposo in capo all'istante. Di contro, la banca, su cui incombeva l'onere di provare il dolo o la colpa grave dell'utente, si è limitata a provare che il bonifico era stato effettuato mediante le chiavi di accesso custodite dall'utente, fondando pertanto su tale circostanza la prova di un comportamento colposo della #### è infondato e va pertanto disatteso. Ed invero, la suddetta circostanza non veniva contestata da parte attrice, la quale ammetteva altresì di aver ricevuto due messaggi facenti riferimento ai due bonifici. SENTENZA 8 Tuttavia, parte attrice precisava di aver digitato i codici richiesti ed inviati dalla banca al fine di impedire la disabilitazione del proprio conto in un primo momento (circostanza riscontrabile dal testo della mail ricevuta), e in un momento successivo al fine invece di bloccare i bonifici sospetti. Né tantomeno la banca ha provato come era suo onere di aver adottato sistemi adeguati al fine di evitare episodi di cd. phishing, essendosi limitata a depositare alcune comunicazioni di allerta proprio per il predetto fenomeno inviata solo successivamente al reclamo dell'attrice e non essendo, altresì , a tal fine sufficiente l'utilizzazione di un avanzato sistema di sicurezza. E neppure può dirsi provata qualsivoglia causa esterna che, per imprevedibilità ed inevitabilità, poteva sfuggire alla sfera di controllo dell'esercente l'attività pericolosa, ossia la banca. Infine, emerge chiaramente dalla documentazione prodotta in giudizio l'adempimento degli obblighi di cui al sopra menzionato art 7 lett. b), avendo parte attrice correttamente segnalato quanto accaduto alla banca immediatamente ed altresì provveduto a sporgere denuncia querela alla locale stazione dei ### di ### (vd. all. 6 e 3 memoria di parte attrice). In ossequio, dunque, all'art 12 comma 2 del d.lgs. citato e alla luce dei fatti allegati dall'istante, che hanno trovato conferma negli elementi probatori acquisiti in corso di giudizio, alcun addebito connotato dal profilo soggettivo del dolo o della colpa grave è imputabile all'attrice, il cui onere probatorio, come si è detto, incombeva sulla convenuta, che nulla ha provato sul punto. In conclusione, va riconosciuta la responsabilità del “pagatore”, rectius ### per aver tenuto un comportamento in violazione al canone di diligenza di natura tecnica richiesto, da valutarsi secondo il parametro dell'accorto banchiere alla luce dei principi innanzi evidenziati , cui causalmente è da ritenersi riconducibile il danno patrimoniale subito dall'istante, in termini di danno emergente, da ritenersi pari ad € 19.800,00 corrispondere all'ammontare dei bonifici illegittimamente disposti sul conto dell'istante . Quanto agli ulteriori danni patrimoniali e non lamentati da parte attrice, non essendo stata fornita alcuna prova sul punto, essendosi parte attrice limitata a delle mere allegazioni sul punto, devono ritenersi insussistenti. SENTENZA 9 ### dunque, accoglie la domanda proposta dall'attrice per quanto di ragione e per l'effetto condanna parte convenuta al risarcimento dei danni in favore dell'attrice per l'importo di euro 19.800,00 oltre interessi legali, ex art 1284, 4 comma c.c. dalla domanda sino al soddisfo. Le spese seguono la soccombenza e si liquidano in dispositivo tenuto conto del valore del giudizio dell'attività espletata secondo tariffa vigente. PQM ### di Napoli, ### civile, in composizione monocratica, definitivamente pronunciando sulla domanda proposta da ### ogni contraria istanza ed eccezione disattesa, così provvede: - accoglie la domanda e per l'effetto condanna ### S.p.A. al pagamento dell'importo di 19.800,00 in favore dell'attrice ### oltre interessi legali ex art 1284 4 co c.c. dalla domanda sino al soddisfo; - condanna la convenuta al pagamento delle spese di lite in favore dell'attrice che si liquidano in euro 518,00 per spese, euro 6.000,00 per compensi oltre spese generali 15% ed accessori di legge, con attribuzione in favore dei procuratori dichiaratosi antistatari avv. ### e avv. ### Napoli, 5.11.2024

Il Giudice
Dott.ssa ###

causa n. 9265/2020 R.G. - Giudice/firmatari: Ranno Rosario, Tuccillo Maria

Tribunale di Roma, Sentenza n. 1934/2025 del 06-02-2025

... attrice erano utilizzati dall'apparente operatore di banca per autorizzare gli illegittimi prelievi di cui ai bonifici in discussione. Pertanto, venivano eseguiti due bonifici per il complessivo importo di € 19.701,00 in favore della ### Il giudizio verte quindi sull'accertamento della responsabilità e degli obblighi restitutori o risarcitori dell'intermediario finanziario e del destinatario del pagamento in caso di frode, ad opera di terzi ignoti, in relazione a disposizioni avvenute tramite strumenti elettronici, quali l'home banking, non volute dal titolare del conto. Il phishing è una truffa eseguita tramite e-mail, sms ###, telefonate ### o internet con la quale la vittima della truffa viene ingannata per permettere al malintenzionato l'accesso ai propri conti bancari al fine di sottrarre le sue disponibilità. Generalmente la vittima della truffa di phishing viene indotta a fornire informazioni personali, dati finanziari, numeri di cellulare o codici di accesso: per far ciò il truffatore finge di solito di essere l'istituto di credito della vittima creando l'apparenza di una comunicazione della banca, così carpendo la fiducia della vittima. Viene, innanzitutto, in rilievo il (leggi tutto)...

testo integrale

REPUBBLICA ITALIANA TRIBUNALE ORDINARIO DI ROMA #### Il Giudice dott. ### ha pronunciato la seguente SENTENZA nella causa civile iscritta al R.G.A.C.306/2021 vertente: TRA ### e ### elettivamente domiciliat ###, presso lo studio dell'avv.  ### che li rappresenta e difende (ex art.85 c.p.c. vista rinuncia mandato) giusta procura allegata telematicamente all'atto di citazione; ### - ### s.p.a., in persona del procuratore speciale dott. ### elettivamente domiciliat ###, presso lo studio dell'avv. ### che la rappresenta e difende giusta procura allegata telematicamente alla comparsa di costituzione; ###É ### s.p.a, in persona del procuratore speciale avv. ### elettivamente domiciliat ###, presso lo studio degli avv.ti ### e ### che la rappresentano e difendono gusta procura allegata telematicamente alla comparsa di costituzione;
OGGETTO: Indebito oggettivo - risarcimento danni.  CONCLUSIONI: come da atti e verbali di causa. 
In decisione all'udienza in data ###, con la concessione dei termini di legge, previsti dall'art. 190 c.p.c., per il deposito delle comparse conclusionali e di replica.  MOTIVI DELLA DECISIONE ### e ### convenivano in giudizio la ### - ### s.p.a. (di seguito ### e la ### s.p.a. (di seguito ### chiedendo: in via principale, previo accertamento dell'avvenuto indebito oggettivo e/o arricchimento senza giusta causa, ex artt. 2033 e 2041 c.c., conseguiti da parte della società ### di condannare quest'ultima alla restituzione, in favore di essi attori delle somme indebitamente trattenute pari ad euro 19.701,00, oltre interessi legali e rivalutazione, come per legge; in via subordinata, previo accertamento della responsabilità contrattuale dell'### di ### convenuto, di condannare la ### al risarcimento di tutti i danni patrimoniali subiti da essi attori con riferimento alla sottrazione della somma di euro 19.701,00, oltre interessi e rivalutazione, come per legge; in ogni caso, di condannare la ### al risarcimento degli ulteriori danni patrimoniali e non patrimoniali subiti e subendi da essi attori da liquidarsi anche in via equitativa, oltre rivalutazione e interessi dal dì del dovuto al soddisfo. 
A fondamento di dette domande gli attori, quali titolari ### del rapporto di conto corrente n. ###, gestito anche tramite servizio ### esponevano che: -in data #### riceveva sul proprio telefono cellulare un messaggio “sms” dalla ### con il quale veniva invitata a contattare urgentemente l'### di ### al numero telefonico “###”.  -essa provvedeva dapprima a contattare il ### di ### per avere maggiori delucidazioni e, successivamente, effettuava una telefonata all'asserito ### al numero indicato nel messaggio sms, numero poi rivelatosi fraudolento; -durante la telefonata, dopo la richiesta di fornire le generalità, l'operatore la rendeva edotta di un presunto accesso online, tramite indirizzo web sito in ### al conto corrente cointestato ad essi attori dal quale sarebbero risultati movimenti con la carta di credito dal valore di euro 500,00, nonché che sarebbero stati disposti due bonifici di pari importo, per un totale di euro 19.701,00, in favore della ### -il medesimo operatore comunicava che, al fine di effettuare lo storno delle suddette operazioni era necessario fornire i codici O-### ricevuti sul suo cellulare; all'esito dell'operazione giungevano ulteriori messaggi che garantivano l'avvenuto storno. 
Nei giorni successivi gli attori verificavano che i bonifici erano stati eseguiti, che non vi era stato lo storno dell'importo in parola e che erano stati vittima di frode tramite le modalità dello smishing; in data ### sporgevano, quindi, denuncia-querela. 
Gli attori lamentavano che nonostante le richieste avanzate sia alla ### che alla ### non avevano ricevuto in restituzione l'importo oggetto dei due bonifici in discussione. 
Si è costituita la ### chiedendo il rigetto della domanda attorea e, in via subordinata, di diminuire ex art. 1227, co. 2, c.c. l'importo richiesto a titolo di danno in ragione del concorso colposo degli attori nella determinazione del dedotto evento dannoso. 
In particolare l'istituto di credito attribuiva la responsabilità della vicenda alle stesse parti attrici, deducendo che la ### aveva incautamente comunicato a terzi le proprie credenziali di accesso nonché, per più volte ripetute, i propri codici di autenticazione “O-key SMS” pervenuti sul suo cellulare per eseguire le operazioni che hanno successivamente portato alla disposizione dei bonifici contestati nell'odierno giudizio, il tutto nonostante nei singoli messaggi O-Key sms fossero contenute le informazioni inerenti l'operazione che si stava eseguendo, ossia un pagamento e non uno storno. 
Anche la ### si costituiva in giudizio chiedendo il rigetto della domanda attorea previo accertamento dell'insussistenza in capo ad essa convenuta di qualsiasi responsabilità per i fatti di causa, nonché l'insussistenza dei presupposti dell'indebito e/o dell'ingiustificato arricchimento, dichiarando la legittimità dell'accantonamento da essa effettuato della somma non spesa, pari ad € 14.501,00, in attesa di indicazioni da parte dell'### giudiziaria. 
In subordine, chiedeva di rigettare la domanda di restituzione avanzata dagli attori nei suoi confronti nella parte eccedente le somme non spese e accantonate e, in ogni caso, di rigettare ogni domanda di condanna al pagamento di interessi e/o rivalutazione monetaria sulle somme di cui dovesse essere ordinata la restituzione. 
In via ulteriormente subordinata, in caso di condanna di essa convenuta alla restituzione di tutte le somme a suo tempo pervenute, comprese le somme spese dall'autore degli illeciti, di condannare la ### a garantirla e tenerla indenne dal danno subito; In particolare, la ### sottolineava di non avere alcuna responsabilità dei fatti di causa, in quanto i bonifici eseguiti per ricaricare una “carta prepagata”, emessa dalla suddetta società, ed intestata ad una persona fisica terza, erano stati effettuati per tramite della ### (portale mybank) con impossibilità di controllo da parte di detta società. 
Evidenziava, altresì, che essa si era attivata lo stesso giorno segnalando ad ### quattro transazioni ### effettuate dal cliente ### ritenute sospette (poiché si trattava di tentativi troppo ravvicinati per grossi importi), di cui due fin da subito rifiutate, chiedendo una verifica sulla genuinità delle stesse e provvedendo a bloccare il cliente, in tal modo riuscendo ad evitare l'impiego dell'importo poi accantonato di euro 14.501,00. 
In sede di prima memoria ex art.183 VI comma c.p.c., le parti attrici, dopo aver dato atto che, in data 20 aprile 2022, avevano ricevuto il rimborso della somma di euro 14.501,00 a seguito del dissequestro di dette somme, avvenuto in data 20 luglio 2021 (le somme erano state sequestrate nel procedimento penale avviato su denuncia degli attori medesimi), precisava le domande chiedendo: in via principale, previo accertamento dell'indebito oggettivo ex artt. 2033, o, in subordine, dell'arricchimento senza giusta causa ex 2041 c.c., conseguiti da parte della società convenuta ### di condannarla a restituire le somme ancora indebitamente trattenute pari ad euro 5.200,00, oltre interessi legali e rivalutazione dalla richiesta stragiudiziale fino alla data del 20 luglio 2021 sulla somma di ### 19.701, nonché rivalutazione e interessi legali sulla minor somma di euro 5.200 da tale ultima data sino a quelle odierna e, da essa, oltre gli interessi moratori ex art. 1284, comma 4 c.c. sempre sulla somma di euro 5.200; in via subordinata, previo accertamento della responsabilità contrattuale dell'### di ### di condannare la ### al risarcimento di tutti i danni patrimoniali subiti con riferimento alla sottrazione della somma residua di euro 5.200,00, oltre interessi legali e rivalutazione dalla richiesta stragiudiziale fino alla data del 20 luglio 2021 sulla somma di ### 19.701, nonché rivalutazione e interessi legali sulla minore somma di euro 5.200 da tale ultima data sino a quelle odierna e, da essa, oltre gli interessi moratori ex art. 1284, comma 4 c.c. sempre sulla somma di euro 5.200; in ogni caso, di condannare la ### al risarcimento degli ulteriori danni patrimoniali e non patrimoniali subiti e subendi da essi attori, da liquidarsi anche in via equitativa, oltre rivalutazione e interessi dal dì del dovuto al soddisfo e, dalla data odierna, oltre interessi moratori ex art. 1284, comma 4 c.c.. 
La causa, essendo documentale, è stata istruita esclusivamente mediante l'acquisizione dei documenti prodotti dalle parti senza la necessità dell'escussione delle prove orali. 
La domanda non è fondata per i motivi che seguono. 
Come documentato dalle parti e come in parte sostanzialmente incontestato è risultato che le parti attrici sono state vittima di un attacco c.d. phishing posto in essere mediante l'invio di un sms sul proprio numero di cellulare (utilizzato per l'accesso home banking al conto corrente aperto presso ### s.p.a.), in apparenza proveniente dal medesimo istituto bancario - come altri sms ricevuti in tempi precedenti i fatti di cui ci si occupa -, con il quale veniva richiesto all'utente di contattare il numero telefonico del servizio antifrodi dell'istituto bancario, numero contattato dalla parte attrice.  ### la telefonata la parte attrice forniva al soggetto terzo i propri codici di accesso nonché i codici OTP (cfr. documentazione informatica e messaggi allegati) che, durante la telefonata, riceveva sul proprio numero di cellulare, codici che le era stato comunicato fossero necessari per effettuare lo storno delle presunte operazioni fraudolente precedentemente eseguite da ignoti. 
In realtà detti codici forniti dalla parte attrice erano utilizzati dall'apparente operatore di banca per autorizzare gli illegittimi prelievi di cui ai bonifici in discussione. 
Pertanto, venivano eseguiti due bonifici per il complessivo importo di € 19.701,00 in favore della ### Il giudizio verte quindi sull'accertamento della responsabilità e degli obblighi restitutori o risarcitori dell'intermediario finanziario e del destinatario del pagamento in caso di frode, ad opera di terzi ignoti, in relazione a disposizioni avvenute tramite strumenti elettronici, quali l'home banking, non volute dal titolare del conto. 
Il phishing è una truffa eseguita tramite e-mail, sms ###, telefonate ### o internet con la quale la vittima della truffa viene ingannata per permettere al malintenzionato l'accesso ai propri conti bancari al fine di sottrarre le sue disponibilità. 
Generalmente la vittima della truffa di phishing viene indotta a fornire informazioni personali, dati finanziari, numeri di cellulare o codici di accesso: per far ciò il truffatore finge di solito di essere l'istituto di credito della vittima creando l'apparenza di una comunicazione della banca, così carpendo la fiducia della vittima. 
Viene, innanzitutto, in rilievo il d.lgs 27/01/2010 n. 11 che alloca sui prestatori di servizi di pagamento (### i rischi derivanti dalle condotte fraudolenti dei terzi che simulano un consenso del pagatore, dando quindi avvio ad una operazione non voluta dal titolare delle somme. 
Per comprendere la distribuzione degli obblighi di protezione e delle rispettive responsabilità, si deve tener presente che, alla luce del complessivo impianto normativo, i PSP sono considerati i soggetti più idonei ad investire risorse per prevenire i rischi connessi alla trasmissione del consenso e, pertanto, nella loro sfera giuridica (nel c.d. rischio di impresa) sono posti sia l'obbligo di assicurare che le credenziali di autenticazione attribuite ai propri clienti “non siano accessibili a soggetti diversi dall'utente abilitato a usare lo strumento di pagamento” sia i “rischi derivanti dalla spedizione di uno strumento di pagamento o delle relative credenziali di sicurezza personalizzate” (artt. 8 e 11 D.lgs. n. 11 del 2010).
In generale, è configurata una responsabilità aggravata del PSP nel caso abbia dato seguito ad un'operazione non autorizzata, proprio in virtù di questa sua maggiore capacità di elaborare meccanismi sicuri di gestione e trasmissione del consenso, nonché di tempestiva ed esatta esecuzione degli ordini di pagamento così ricevuti. 
In quest'ottica, la ### 2366/2015/UE, prima, e il ### del. 2018/389/UE della ### poi, hanno imposto agli PSP di predisporre meccanismi di autenticazione forte, per la trasmissione del consenso, basati su due o più elementi che sono classificati nelle categorie della conoscenza, del possesso e dell'inerenza, con la generazione di un codice di autenticazione. 
Al fine di non consentire una indiscriminata responsabilità a carico dei ### sono previsti degli obblighi di diligenza in capo agli utenti di tali servizi per quanto concerne la propria sfera di influenza. Costoro, infatti, ricevono e devono custodire le credenziali di sicurezza personalizzate per accedere ai propri conti di pagamento ed impartire quegli ordini di pagamento che sono la manifestazione procedimentalizzata al PSP della propria volontà di dare corso a dette operazioni. 
In quest'ottica ed a tale fine, l'art. 7, D.lgs. n. 11/2010, prescrive che “1. ### abilitato all'utilizzo di uno strumento di pagamento ha l'obbligo di: a) utilizzare lo strumento di pagamento in conformità con i termini, esplicitati nel contratto quadro, che ne regolano l'emissione e l'uso e che devono essere obiettivi, non discriminatori e proporzionati; b) comunicare senza indugio, secondo le modalità previste nel contratto quadro, al prestatore di servizi di pagamento o al soggetto da questo indicato lo smarrimento, il furto, l'appropriazione indebita o l'uso non autorizzato dello strumento non appena ne viene a conoscenza. 2. Ai fini di cui al comma 1, lettera a), l'utente, non appena riceve uno strumento di pagamento, adotta tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate”. 
Quanto sopra si rende necessario per una completa prevenzione dai rischi connessi a queste operazioni, senza estendere eccessivamente la responsabilità, e i correlativi obblighi, dei ### Il delicato bilanciamento delle responsabilità in capo ad ambo le parti risente dello spartiacque della comunicazione di cui all'art. 7, co. 1, lett. b), la quale mette il PSP nelle condizioni di comprendere, per tempo, la discrasia tra consenso e manifestazione procedimentalizzata dello stesso. 
È quindi necessario circoscrivere l'analisi del riparto di responsabilità alle sole operazioni di pagamento non autorizzate eseguite dal PSP a seguito della corretta ricezione di un ordine di pagamento. Difatti, trattandosi di operazioni non autorizzate, ossia eseguite senza il consenso dell'utente, il decreto legislativo pone sul PSP (la banca) l'onere di “provare che l'operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti” (art. 10 D.lgs. n. 11/2010). 
In difetto di tale prova, non vi sarebbe alcun dubbio sulla responsabilità del ### il quale non potrebbe altrimenti aver fatto affidamento su un apparente consenso dell'utente manifestato attraverso quella procedimentalizzazione e autenticazione a cui si ha accennato. 
Nell'ipotesi in esame, poi, nel caso in cui l'operazione risultasse correttamente autenticata e che non sia stata conseguenza di mal funzionamento e inefficienza del sistema, la banca è esonerata da ogni responsabilità nel caso dimostri che il proprio utente pagatore abbia agito in modo fraudolento o non abbia adempiuto, con dolo o colpa grave, agli obblighi di diligenza e di tempestiva comunicazione di cui all'art. 7 (art. 12, D.lgs. n. 11/2010). 
Sul punto la giurisprudenza della Suprema Corte evidenzia che “la responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell'utilizzazione illecita dei relativi codici da parte di terzi, ha natura contrattuale e, quindi, va esclusa solo se ricorre una situazione di colpa grave dell'utente” (cfr. Cass. Sez. III sent.3780/2024 e nello stesso senso sent.  18045/2019 e ordin. n.26916/2020). 
Ciò premesso, va considerato, innanzitutto, che (cfr. anche Cass., ordin. 7214/2023) in materia di phishing e truffe online ai danni dei correntisti deve ritenersi condotta colposa grave, idonea ad escludere la responsabilità dell'intermediario finanziario, il comportamento del cliente che abbia fornito informazioni personali quali il proprio user-ID o la password per accedere al proprio home banking, e la banca ha adottato tutte le misure di sicurezza efficaci per impedire che ciò accada. 
Infatti, se vengono adottate tutte le misure di sicurezza tecniche per la sicurezza delle operazioni online, l'### non può essere ritenuto responsabile se sono i clienti stessi a fornire a terzi le proprie credenziali, condotta non controllabile dall'intermediario. 
Nel caso di specie, dalla documentazione contrattuale allegata emerge che la sicurezza dei servizi online della parte convenuta era garantita da sistemi informatici secondo rigorosi standard internazionali; inoltre non risulta che la truffa sia avvenuta tramite una falla dei sistemi di protezione dell'istituto di credito, ma in quanto gli attori stessi chiamando il numero indicato nel messaggio fraudolento inviato da terzi ignoti da cui appariva la comunicazione provenisse dalla banca, avevano fornito tutte le proprie credenziali di accesso e codici predisposti per garantire l'autenticità dell'ordine di pagamento effettuato on line in violazione di tutte le regole di prudenza e diligenza che ci si potrebbe aspettare dall'utente medio, anche non esperto di sistemi di sicurezza informatica. 
In particolare, va osservato che: -la ### aveva messo in guardia i clienti, attraverso comunicazioni istituzionali e sul proprio sito internet volte a mettere in guardia su possibili truffe ed avvertendo che mai, sotto alcuna circostanza, il personale della banca avrebbe chiesto loro i codici di accesso e che pertanto, in caso di una richiesta di questo tipo, i clienti avrebbero dovuto diffidare e non darle corso; -nel contratto di conto corrente -art.96 condizioni generali di contrattoe dalla ### ai ### in esso richiamata era espressamente indicato l'obbligo dei clienti di custodire con massima cura e riservatezza i codici di accesso e di comunicare con immediatezza un'eventuale indebita appropriazione di detti codici; -risulta dimostrato per tabulas dai documenti depositati dalla ### che parte attrice ha comunicato a terzi le credenziali di accesso al servizio home banking e i codici di autorizzazione dei singoli pagamenti, come anche ammesso dalla medesima parte attrice, nella convinzione che il proprio interlocutore fosse effettivamente la ### convenuta e che i codici servissero non per autorizzare, bensì per “stornare” le operazioni che era convinta fossero state fraudolentemente effettuate in precedenza a proprio danno; -risulta, poi, dagli sms (in atti) ricevuti dalla stessa attrice in tale occasione che il numero O.Key ad essi inviato serviva per “autorizzare il pagamento del bonifico…” e non per effettuare lo storno, attività quest'ultima, che per esperienza comune, è propria della banca che opera autonomamente una volta riconosciuta l'illegittimità di un addebito; -pertanto, l'operazione avveniva a seguito del perfezionamento della procedura ordinaria in quanto, con l'immissione dei codici di accesso, risultava l'autorizzazione dei titolari del rapporto di conto corrente ad effettuare la disposizione patrimoniale inerente ai bonifici in questione. 
Va rilevato, poi, che le disposizioni in esame non superavano il limite contrattuale massimo previsto giornalmente per i bonifici e che gli stessi attori allegano l'effettuazione di bonifici di importo non trascurabile (alleg. 3). 
Risulta, poi, dalla documentazione contrattuale allegata che la ### avesse predisposto un sistema di autenticazione c.d. forte, in conformità alla normativa vigente, mediante la richiesta di credenziali di accesso statiche (codice titolare, c.d. USERID + password generata esclusivamente dal correntista, c.d. PIN) e dinamiche (codici autorizzativi monouso e temporizzati, c.d. ###, generati dal sistema tramite sms o push al momento della richiesta di accesso all'home banking e al momento di conclusione di ciascuna operazione). 
Va rilevato, poi, come dallo scambio di messaggi avvenuto tra gli attori ed il ### di ### ove si notiziava quest'ultimo del messaggio contente l'invito a contattare urgentemente l'### di ### al numero telefonico “###”, il ### metteva in guardia gli attori della possibilità che potesse essere un phishing in quanto la banca non era solita mandare messaggi di quel tipo e solo dopo che gli attori avevano detto che il messaggio arrivava dallo stesso numero che li avvisava quando facevano grossi bonifici, rispondeva “allora sì” circa l'opportunità di chiamare l'ufficio prevenzioni, ma detta circostanza non giustifica la comunicazione dei propri dati di accesso via mail visto quanto sopra detto e senza nemmeno controllare sull'home banking che effettivamente i bonifici di cui si sarebbe dovuto fare lo storno fossero stati effettivamente addebitati. 
Le considerazioni che precedono portano a ritenere adempiuto l'onere probatorio gravante sulla ### circa l'adozione di tutte le misure idonee a evitare il danno, che si è verificato grazie all'incauta ed ingiustificata comunicazione da parte della cliente delle credenziali di accesso e dei codici di pagamento, eseguito nella errata ed incauta convinzione che il soggetto cui venivano comunicate fosse proprio la ### La domanda di parte attrice nei confronti della ### merita quindi di essere rigettata, non riscontrandosi alcuna responsabilità della stessa nella vicenda in esame. 
Al riguardo, va aggiunto che dalla corrispondenza allegata, risulta che la banca avesse contattato anche la ### ai fini di ottenere la restituzione delle somme pervenute a quest'ultima in base ai bonifici in oggetto. 
Relativamente alla domanda di parte attrice nei confronti della ### S.p.a, deve rilevarsi l'infondatezza anche della medesima, non configurandosi a carico della suddetta convenuta alcuna ipotesi di indebito oggettivo o di ingiustificato arricchimento. 
Va premesso, al riguardo che la ### s.p.a non risulta rivestire nel caso di specie la qualifica di PSP e, dunque, alla stessa non possono applicarsi, neppure per astratto, le regole né il “rischio di impresa” previsto per i PSP (per la ### nel caso di specie); inoltre la stessa non ha avuto alcun ruolo nella fase di predisposizione ed addebitamento dei bonifici. 
Inoltre, dalla documentazione allegata emerge come la convenuta non è stata in alcun modo responsabile, né vi ha concorso, della fraudolenta sottrazione delle somme a danno degli attori. 
Rileva, innanzitutto, che la stessa, insospettita dalle operazioni che venivano eseguite dal cliente Recard#### trattandosi di tentativi troppo ravvicinati per grossi importi, bloccava il cliente. 
Solo grazie a detto intervento, è riuscito ad evitare l'impiego dell'importo totale dei due bonifici, limitando il danno per gli attori medesimi, bloccando le operazioni eseguite dal soggetto terzo “### Giovanni” intestatario della carta prepagata ricaricabile; infatti, dalla documentazione allegata dalla ### risulta che solo euro 5.200,00 sono state utilizzate mediante acquisto di buoni carburante.
Va considerato, quindi, in ordine alle domande di indebito oggettivo ed ingiustificato arricchimento che, innanzitutto, la ### a incassato detta somma a fronte della prestazione di fornitura di carburante effettuata a seguito dell'acquisto dei tickets acquistati dal cliente ### Pertanto, la ricezione della somma corrisponde al compenso per una prestazione contrattuale effettivamente prestata e, quindi, non risulta né indebita, né ingiustificata. 
La circostanza che la provvista per pagare la fornitura fosse stata ottenuta dal suddetto cliente da un terzo, gli odierni attori, tramite attività fraudolenta comporta il diritto degli attori alla restituzione di detta somma da parte del soggetto che ha posto in essere la frode ed ha indebitamente utilizzato l'importo sottratto, ma non può riverberare negativamente sul soggetto terzo alla truffa che senza colpa ha ricevuto l'importo sottratto fraudolentemente a pagamento di una propria prestazione. 
Non si ravvisano quindi, i presupposti per porre a carico della convenuta ### un obbligo di restituzione dell'importo in questione per indebito oggettivo o ingiustificato arricchimento in quanto somma indebitamente ricevute ed in parte utilizzata da “### Giovanni”, entrando nella esclusiva disponibilità di quest'ultimo (sebbene mediante accredito su carte prepagata emessa della convenuta), ed unico soggetto qualificabile come indebito percipiente delle somme di proprietà degli attori. 
Ritiene, poi, che nulla sia dovuto dalla ### agli attori a titolo di interessi e rivalutazione sulla somma ad essi restituita in data 20 aprile 2022, dopo che l'importo di euro 14.501,00 era stato dissequestrato. 
Risulta, infatti, dalla documentazione allegata che detta convenuta si era subito adoperata per denunciare le operazioni sospette alla ### ed aveva inizialmente accantonato l'importo ai fini della verifica dell'accaduto per poi procederne alla restituzione al legittimo titolare; successivamente dette somme erano sono state oggetto di sequestro da parte dell'### nel maggio 2021 e, successivamente al dissequestro, erano state definitivamente trasferite al ### di Giustizia (circostanza non sostanzialmente contestata) e poi rimborsate. 
Per quanto detto, non può essere accolta la domanda degli attori a danno della convenuta ### Ritenuta quindi assorbita ogni altra questione, compresa la domanda di manleva avanzata in via subordinata dalla ### nei confronti della ### rigetta le domande attoree. 
In considerazione dell'assorbimento della questione della suddetta domanda di manleva ritiene vi siano i presupposti per compensare tra la ### e la ### le spese di lite in relazione a detta domanda.
Per il resto, le spese di lite seguono la soccombenza e sono liquidate come da dispositivo, secondo i criteri e le tariffe di cui al D.M. 10.3.2014, n. 55 (e successive integrazioni), in rapporto allo scaglione di riferimento in relazione all'effettivo valore della causa.  P.Q.M.  Il Tribunale, definitivamente pronunciando sulla causa specificata in epigrafe, disattesa ogni contraria istanza, eccezione e deduzione, così provvede: - rigetta le domande avanzate dalle parti attrici; -compensa le spese di lite tra la ### s.p.a. e la ### - ### s.p.a., in relazione alla domanda di garanzia; -condanna ### e ### in solido al pagamento, in favore delle parti convenute, delle spese di lite che si liquidano complessivamente, per ciascuna parte, in euro 3.000,00 per compensi, oltre il rimborso delle spese generali, I.V.A. e C.P.A. come per legge.  ### 06/02/2025

causa n. 306/2021 R.G. - Giudice/firmatari: Landi Alfredo

Tribunale di Reggio Calabria, Sentenza n. 1227/2024 del 10-09-2024

... spyware sul pc del cliente). Deduce che in caso di phishing debba del tutto escludersi qualsiasi responsabilità della banca, che da sempre raccomanda ai propri clienti di adottare precise precauzioni per prevenire eventuali truffe. Rileva che quanto accaduto sia ascrivibile ad esclusiva responsabilità del cliente, che non ha adeguatamente custodito i codici di accesso segreti ed ha rinunciato ad avvalersi del servizio di sms alert, grazie al quale si sarebbe potuto accorgere immediatamente dell'avvenuta illecita disposizione e bloccarla. Infine, rileva l'infondatezza della domanda risarcitoria, stante la totale carenza di allegazioni difensive. La prima udienza di comparizione delle parti è stata sostituita dallo scambio di note scritte ex art. 221 c. 4 del d.l. n. 34/2020, nelle quali entrambe le parti hanno chiesto concedersi i termini ex art. 183 c. 6 c.p.c.. Concessi i predetti termini, parte attrice, nella propria memoria ex art. 183 c. 6 n. 1 c.p.c., ha contestato le difese avversarie ed, in particolare, ha rilevato che sul conto corrente acceso presso ### ogni decade, effettua solo due tipologie di bonifici, di cui la prima destinata a versare i premi incassati all'### e (leggi tutto)...

testo integrale

REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO IL TRIBUNALE DI REGGIO CALABRIA I SEZIONE CIVILE Il Tribunale, nella persona del giudice unico dott.ssa ### ha pronunciato la seguente SENTENZA nella causa civile di I ### iscritta al N. 65 generale per gli affari contenziosi dell'anno 2020 ritenuta in decisione su conclusioni precisate all'udienza del 21/02/2024 e decisa, alla scadenza dei termini ex art. 281 quinquies, c. 1, c.p.c., vertente TRA ### (C.F. ###), in proprio e n.q. di titolare dell'omonima impresa individuale, elettivamente domiciliato in ### BLASIO, 3 - ### presso lo studio dell'avv. ### che lo rappresenta e difende per procura in calce all'atto di citazione ATTORE e ### (C.F. ###), in persona del legale rappresentante p.t. e, per esso, del suo procuratore speciale dott.ssa ### elettivamente domiciliata in ###. 22 - NAPOLI, presso lo studio dell'avv. ### che la rappresenta e difende giusta procura in calce alla comparsa di costituzione e risposta ### OGGETTO: Responsabilità dell'istituto bancario per frode informatica. CONCLUSIONI: come da verbale in atti. ### atto di citazione, notificato il ###, ### in proprio e nella qualità di titolare dell'omonima ditta individuale, ha evocato in giudizio dinanzi all'intestato Tribunale l'### al fine di sentire ivi accogliere le seguenti conclusioni: “In via principale: 1. accertare e dichiarare la responsabilità da inadempimento per violazione della diligenza professionale della ### s.p.a., già Banco di ### s.p.a., per le ragioni tutte di cui al presente atto, nei confronti del #### per i danni subiti quale conseguenza immediata e diretta del suo inadempimento; 2. condannare la banca ### s.p.a., già Banco di ### s.p.a., al risarcimento dei danni sofferti dal #### quale conseguenza immediata e diretta del dedotto inadempimento, che si quantificano in complessivi ### 9.428,92=, ovvero in quella diversa ritenuta di giustizia oltre interessi e rivalutazione dalla maturazione sino al soddisfo; 3. condannare la banca ### s.p.a., già Banco di ### s.p.a., al rimborso della somma pagata a titolo di interessi passivi prodotti sul contratto di apertura di conto corrente del #### oltre interessi e rivalutazione dalla maturazione sino al soddisfo; 4. condannare la banca ### s.p.a., già Banco di ### s.p.a., al risarcimento dei danni all'immagine professionale sofferti dal #### quale conseguenza immediata e diretta del dedotto inadempimento, che si quantificano in complessivi euro 15.000,00=, ovvero in quella diversa ritenuta di giustizia oltre interessi e rivalutazione dalla maturazione sino al soddisfo; 5. condannare, infine, la banca ### s.p.a., già Banco di ### s.p.a., alla refusione delle spese e competenze del presente giudizio, oltre accessori nella misura di legge.”. In particolare, espone di essere titolare del conto corrente n. 6107, aperto presso ### di ### - ### di ### sita in ### n. 12 (ora ###, su cui confluiscono i premi dei contratti assicurativi stipulati con la clientela della ###ni spa, di cui è agente. Rileva che tra i servizi connessi al contratto di conto corrente vi è anche quello dell'home banking, che consente di effettuare disposizioni di pagamento tramite il canale informatico ed in specie, attraverso il sito internet ### della banca. In data ### il sito era inaccessibile, in quanto risultava in manutenzione e nei giorni successivi dal 18 al 21 giugno 2018 l'attore si era dovuto recare fuori sede per motivi di salute, sicchè solo al suo rientro si era potuto avvedere, tramite accesso all'area clienti, che in data ### vi era stata una disposizione di bonifico dell'importo di € 9.428,92 in favore di tale D'### Aveva subito contattato la banca al fine di contestare l'operazione e, con pec del 21.06.2018, le aveva chiesto il risarcimento dei danni subiti in conseguenza della truffa informatica di cui era stato vittima, favorita dalle inadeguate misure di sicurezza adottate dalla banca per prevenire accessi illeciti ma la banca aveva rifiutato di effettuare il rimborso della somma bonificata. In data ### aveva presentato formale denuncia per il reato di truffa informatica presso la stazione dei carabinieri di ### Deduce che la disposizione bancaria in oggetto gli aveva arrecato dei problemi, in quanto aveva dovuto versare all'### i premi assicurativi ricevuti oltre il termine temporale previsto ed aveva dovuto attingere all'apertura di credito concessa sul conto, con conseguente pagamento di interessi passivi. Era poi risultata compromessa la sua reputazione nei confronti della ### assicurativa per cui lavora, che gli aveva sollevato delle contestazioni provocando in lui uno stato di turbamento e delusione. In punto di diritto, invoca la responsabilità della banca ai sensi degli artt. 10 e 11 del d.lgs. 11 del 27.01.2010 (cd. PSD###), in quanto la stessa aveva omesso di rimborsargli la somma versata tramite un'operazione non autorizzata, con la precisazione che anche l'autenticazione del cliente apparentemente corretta non esclude una sua responsabilità. Deduce, inoltre, che la responsabilità della banca sia inquadrabile nella disciplina del mandato ex art. 1856 c.c. e che la diligenza del buon banchiere sia una diligenza qualificata dal maggior grado di prudenza e attenzione che la connotazione professionale dell'agente consente e richiede. Spetta, dunque, all'istituto bancario dimostrare di avere adottato tutte le misure idonee a garantire la sicurezza del servizio di home banking, gravando sulla stessa una responsabilità oggettiva o semioggettiva e l'onere di dimostrare, anche solo in via presuntiva, che l'operazione sia riconducibile al cliente. Con comparsa di costituzione e risposta, depositata il ###, si è costituita in giudizio l'### chiedendo il rigetto dell'avversa domanda ovvero, in subordine, il riconoscimento del concorso di colpa del danneggiato, con conseguente esclusione o riduzione proporzionale del risarcimento. In particolare, espone che per operare sul portale internet ### qualsiasi cliente è titolare di una ### di un numero personale (### e di una chiavetta cd. O-Key (un particolare dispositivo mediante il quale vengono creati dall'utente codici dispositivi sempre mutevoli e mai riutilizzabili), di cui solo egli è a conoscenza e che deve custodire con particolare attenzione. Precisa che per effettuare una disposizione di bonifico occorre inserire i codici dispositivi generati dalla chiavetta, ove essi restano visualizzati per pochi minuti e non sono mai riutilizzabili. ### aveva diverse volte negli anni operato tramite l'home banking senza problemi e non aveva mai attivato il servizio gratuito di “sms alert” (che consente al correntista di ricevere un messaggio SMS sull'utenza cellulare indicata nella domanda di attivazione ogni volta che viene disposta un'operazione di bonifico sul proprio conto corrente). In merito all'operazione di pagamento contestata, rileva che la stessa sia stata effettuata online e che sia andata a buon fine in quanto sono stati correttamente inseriti sia la ### sia il Pin sia il codice dispositivo generato dalla chiavetta ### in possesso dell'attore. Peraltro, essa si inserisce in una presentazione di bonifico multiplo eseguita in pari data, il che smentisce la tesi attorea dell'inaccessibilità del sito web. Rileva altresì che, a seguito del reclamo sporto dal cliente, sono state effettuate le opportune verifiche, da cui è risultato che il bonifico sia riconducibile proprio al ### non emergendo tentativi di immissione di credenziali errate né in fase di accesso né in fase dispositiva e tutti i dati inseriti sono corretti. Nega poi che in data ### il sito della banca fosse in manutenzione, circostanza questa del resto smentita dal fatto che lo stesso attore in quella giornata ha effettuato altre operazioni. Rileva, quindi, di avere operato correttamente e che la sicurezza della connessione al web è garantita dal “collegamento SSL a 128bit”, che rappresenta lo standard più avanzato in termini di crittografia dei dati che transitano sulla rete internet. Postula che, stante il corretto utilizzo dei codici segreti in uso al cliente, essi siano stati inseriti o da soggetto che è venuto a conoscenza di essi a causa della negligenza o disattenzione dell'attore ovvero che egli sia rimasto vittima della truffa on line, meglio conosciuta come ### (tramite un link inviato dal truffatore il cliente si collega al suo sito, trasmettendogli le informazioni personali digitate) ovvero del cd. key logging (il cliente riceve dal truffatore una mail contenente un allegato, che - una volta aperto - installa automaticamente sul suo pc un programma che consente al truffatore di captare i dati inseriti dal cliente) ovvero del cd. man in the browser (installazione di uno spyware sul pc del cliente). Deduce che in caso di phishing debba del tutto escludersi qualsiasi responsabilità della banca, che da sempre raccomanda ai propri clienti di adottare precise precauzioni per prevenire eventuali truffe. Rileva che quanto accaduto sia ascrivibile ad esclusiva responsabilità del cliente, che non ha adeguatamente custodito i codici di accesso segreti ed ha rinunciato ad avvalersi del servizio di sms alert, grazie al quale si sarebbe potuto accorgere immediatamente dell'avvenuta illecita disposizione e bloccarla. Infine, rileva l'infondatezza della domanda risarcitoria, stante la totale carenza di allegazioni difensive. La prima udienza di comparizione delle parti è stata sostituita dallo scambio di note scritte ex art. 221 c. 4 del d.l. n. 34/2020, nelle quali entrambe le parti hanno chiesto concedersi i termini ex art. 183 c. 6 c.p.c.. Concessi i predetti termini, parte attrice, nella propria memoria ex art. 183 c. 6 n. 1 c.p.c., ha contestato le difese avversarie ed, in particolare, ha rilevato che sul conto corrente acceso presso ### ogni decade, effettua solo due tipologie di bonifici, di cui la prima destinata a versare i premi incassati all'### e l'altra destinata al proprio conto personale per le spese, gli stipendi e la gestione della sua agenzia. Nella data del 15.06.2018 intendeva per l'appunto effettuare i due bonifici di cui si è detto, ma aveva incontrato delle difficoltà verosimilmente perché il sito era in manutenzione, tant'è che il primo codice ### inserito era stato rifiutato dal sistema. Ha poi addotto di essere stato vittima della frode cd. Man in the browser (### nel momento in cui ha effettuato la disposizione del bonifico multiplo. Quel giorno non era riuscito ad effettuare alcuna operazione tramite l'home banking ed era stato costretto a chiamare il numero verde del servizio di assistenza, senza però esito positivo. ### era stata effettuata a sua insaputa da un terzo soggetto, come dimostrava la pendenza del giudizio penale a carico di ### D'### presso il Tribunale di Pescara. Ha, inoltre, negato di avere divulgato i codici di accesso, rilevando che semmai questi erano stati carpiti dal malware. Non è poi un fattore da valutare ai fini di una sua eventuale colpa, il non avere attivato il servizio di sms alert, che comunque avrebbe funzionato solo ex post e sarebbe stato subordinato ad elementi fuori dal controllo dell'utente come la funzionalità della linea telefonica. Ha poi evidenziato che la presenza di un virus non fosse indice di una sua negligenza, in quanto tali software sono in grado di aggirare anche i sistemi antivirus. Nella seconda memoria istruttoria parte attrice ha replicato in merito all'effettuazione di alcune operazioni bancarie nel giorno 15.06.2018, di cui ha riferito la banca ed ha rilevato che le due operazioni di bonifico avvenute quel giorno sono state effettuate tramite il numero verde di assistenza clienti 800-312-316: la prima, previamente autorizzata il giorno prima dalla banca mediante fax era pari ad € 145.963,05, versati in favore della ### la seconda è stata diretta al conto personale del ### ed era pari ad € 20.000,00. Ha, quindi, evidenziato che mentre per il bonifico in favore dell'###ni spa la banca aveva preteso una previa autorizzazione, lo stesso non aveva fatto per il bonifico in favore del D'### Nella terza memoria istruttoria parte convenuta ha controdedotto che in data ### l'attore, oltre ai due bonifici di cui ha detto, ha disposto ulteriori nove bonifici alle ore 9,37, con addebito su altri conti ma sempre mediante il portale ### giusta espressa facoltà in tal senso prevista nel contratto di ### sottoscritto in data ### ed all'interno del quale sono specificatamente indicati tutti i rapporti di conto corrente, intestati al ### sui quali lo stesso poteva operare on line mediante accesso telematico al suo portale ### Ciò smentisce, a suo dire, totalmente la tesi attorea secondo cui in data ### il ### non avrebbe effettuato alcuna operazione online. Quanto al bonifico effettuato nei confronti dell'###ni spa, ha rilevato che l'autorizzazione in quel caso fosse necessaria per l'elevato importo dell'operazione. Con ordinanza del 16.06.2021 questo Giudice ha rigettato tutte le richieste istruttorie e, con ordinanza del 19.01.2022, ha trattenuto una prima volta in decisione la causa, concedendo i termini ex art. 190 c.p.c.. Con successiva ordinanza del 21.07.2022 la causa è stata rimessa sul ruolo istruttorio, ritenendosi necessario disporre una ctu, per l'estrema tecnicità delle questioni oggetto del giudizio. La consulenza è stata poi depositata in data ###. La causa è stata trattenuta nuovamente in decisione all'udienza del 21.02.2024, sulle conclusioni precisate a verbale dalle parti e con concessione dei termini ex art. 190 c.p.c.. RITENUTO IN DIRITTO La domanda attorea è meritevole di rigetto. Si osserva anzitutto che l'attore lamenta che la banca convenuta avrebbe omesso di rimborsargli la somma fraudolentemente sottrattagli da terzi tramite un'operazione di pagamento sospetta mai da lui disposta. ### in questione è un bonifico effettuato online mediante il portale ### di ### in data ###, a seguito del quale l'attore ha subito un addebito di € 9.428,92 sul proprio conto corrente n. 1000/6170. Tale somma è stata percepita da D'### soggetto sconosciuto all'attore e contro il quale egli ha presentato una denuncia-querela (all. 4 del fascicolo attoreo), tanto che risulta avviato un procedimento penale presso il Tribunale di Pescara al momento della proposizione dell'odierna domanda giudiziale, i cui esiti tuttavia sono ignoti (vedasi richiesta del PM di rinvio a giudizio dell'unico indagato D'### accusato dei reati ex artt. 648bis e 648ter c. 1 c.p., avvinti dal vincolo della continuazione, per avere messo a disposizione la propria carta prepagata al fine di ricevere la somma bonificata da terzi rimasti ignoti e per avere successivamente posto in essere operazioni tese ad ostacolare l'identificazione della provenienza illecita delle somme, che aveva poi trasferito in data ### ad una società straniera tramite n. 44 bonifici del medesimo importo di € 209,25 - all. 9 del fascicolo attoreo). Nell'atto di citazione l'attore si è limitato a dedurre, in modo molto stringato, che in data ### il sito web della banca risultava in manutenzione ed era inaccessibile (come anche riportato nella denuncia-querela) e che in data ###, nel collegarsi alla propria area clienti, si era accorto che in data ### era stata effettuata una disposizione di bonifico dell'importo di €. 9.428,92 in favore di tale D'### concludendo di essere stato vittima di una frode informatica di cui la banca doveva rispondere ai sensi degli artt. 10 e 11 del d.lgs. n. 11/2010, gravando sulla stessa l'onere della prova circa la corretta autenticazione, registrazione e contabilizzazione dell'operazione contestata e l'assenza di malfunzionamenti dei propri sistemi. Dal canto suo, l'istituto bancario ha evidenziato che l'operazione è stata ritenuta regolare dal sistema di ### banking, in quanto è frutto del corretto inserimento delle credenziali assegnate al cliente in virtù del contratto di prestazione del servizio di home banking (all.ti 2 e 3 del fascicolo di parte convenuta) e del codice O-key generato tramite il dispositivo in dotazione al ### Inoltre, smentisce la tesi dell'inaccessibilità del sito, evidenziando come nella medesima data del 15.06.2018 lo stesso ### avesse effettuato altre operazioni mediante il portale, risultanti dall'e/c e dalla contabile bonifici (prodotti sub all.ti 4 e 5). Si tratta di due operazioni di bonifico, di cui la prima effettuata in favore dell'### (di cui è agente generale) e l'altra in favore di se stesso su un suo conto personale. La banca ha ulteriormente dedotto che la connessione al web era garantita dal “collegamento SSL a 128bit”, che rappresentava all'epoca lo standard più avanzato in termini di crittografia dei dati transitanti su internet e che per l'operazione di bonifico, oltre alla ### ed alla password inserite dall'utente per accedere alla propria area occorre altresì un terzo fattore di autenticazione, ovvero il codice otp generato istantaneamente dalla chiavetta in possesso del cliente. Ha, quindi, ipotizzato che l'operazione incriminata possa essere stata effettuata da terzi, venuti a conoscenza dei codici di accesso per disattenzione del cliente ovvero tramite l'escamotage del cd. phishing, così adducendo il concorso di colpa del ### ex art. 1227 c.c., il quale aveva altresì omesso di attivare il servizio gratuito di sms alert che gli avrebbe consentito di venire immediatamente a conoscenza dell'operazione fraudolenta e di revocarla immediatamente. Nella prima memoria istruttoria l'attore non contesta l'esecuzione dei due bonifici indicati dalla banca nella data del 15.06.2018, ma afferma di avere incontrato una serie di difficoltà legate verosimilmente alla manutenzione del sito, tanto che il primo tentativo di inserimento del codice ### non era andato a buon fine. Ha, quindi, dedotto di essere stato vittima della frode cd. Man in the browser, come ipotizzato nella relazione prodotta dalla banca sub all. 6, e che a causa di ciò egli era stato impossibilitato ad usare l'home banking ed era stato costretto a rivolgersi al numero verde di assistenza senza esito positivo, di talchè poi le due operazioni di bonifico sarebbero avvenute mediante l'invio di due distinte lettere di manleva, entrambe controfirmate e timbrate dallo stesso ### al numero di fax 011/### di ### Ha, infine, espressamente riferito di non avere effettuato alcuna operazione tramite l'home banking in data ###. La banca, nella propria memoria ex art. 183 c. 6 n. 1 c.p.c., ha ulteriormente precisato che l'operazione contestata è stata disposta da un indirizzo IP (n. 217.58.110.125) già utilizzato in altre occasioni dal cliente e addirittura utilizzato per operazioni eseguite nella medesima giornata del 15.06.2018, non disconosciute. Ha, infine, contestato che il cliente avesse omesso di proteggere il pc utilizzato mediante l'installazione di un programma antivirus. Nella terza memoria istruttoria la banca ha, infine, ribadito che nella giornata del 15.06.2018 il correntista abbia effettuato numerose operazioni di bonifico tutte tramite il portale online. Infatti, oltre al giroconto di €. 20.000,00, sarebbero stati eseguiti ben ulteriori 9 bonifici, tutti alle ore 09.37 su altri conti diversi da quello oggetto di causa, giusta espressa facoltà in tal senso prevista nel contratto di ### sottoscritto in data ###, ove sono specificatamente indicati tutti i rapporti di conto corrente intestati al ### sui quali lo stesso poteva operare on line mediante accesso telematico al suo portale ### 1) bonifico di €.1.081,00 in favore di ### 2) bonifico di €.1.813,00 in favore di ### 3) bonifico di €.1.450,00 in favore di ### 4) bonifico di €.1.153,00 in favore di ### 5) bonifico di €.1.098,00 in favore di ### 6) bonifico di €.1.431,00 in favore di ### 7) bonifico di €.1.164,00 in favore di ### 8) bonifico di €.1.358,00 in favore di ### 9) bonifico di €.1.426,00 in favore di ### (vedasi allegato della seconda memoria di parte convenuta). ###, invece, nella propria terza memoria, si è limitato a contestare la validità del documento prodotto dalla convenuta in allegato alla seconda memoria, consistendo esso in un file excel proveniente dall'istituto avente solo valenza interna ed ha ribadito che il portale ### fosse inaccessibile nella data del 15.06.2018, sicchè le operazioni di bonifico sarebbero state effettuate mediante l'ausilio dell'assistenza clienti. Ha poi rilevato che la disposizione di bonifico effettuata in favore del D'### non era stata previamente autorizzata, diversamente da quanto avvenuto per il bonifico in favore di ### comunicato via fax in data ### (all. 8 del fascicolo attoreo). Nella prima comparsa conclusionale depositata il ### l'attore continua a ribadire di non avere utilizzato il servizio di home banking in data ### e che le due operazioni di bonifico addebitate sul suo conto corrente sono entrambe avvenute mediante il numero verde di assistenza e non online. Orbene, dalla ricostruzione delle difese adottate dalle parti, brevemente riportata, emerge che la prospettazione attorea sia nel senso di attribuire la frode informatica ad un malfunzionamento dei sistemi della banca, il cui sito era inaccessibile nella data del 15.06.2018 ed alla presenza di uno spyware cd. Man in the browser, che avrebbe carpito fraudolentemente le sue credenziali e lo stesso codice #### allo stesso tempo però non ha specificamente contestato ed anzi talvolta ha espressamente ammesso talune circostanze riferite dalla convenuta, ossia ha ammesso di non essersi dotato del servizio di sms alert e non ha specificamente contestato né di non essere munito di antivirus né che l'IP address utilizzato per l'operazione fosse lo stesso utilizzato per altre da lui stesso né l'esecuzione di ben 9 ulteriori bonifici, di cui non ha fornito alcuna spiegazione. Ha, infine, sempre negato di avere fornito a terzi le proprie credenziali o la propria chiavetta e di essere stato vittima di phishing, come supposto invece dalla banca. Orbene, stante la tecnicità della vertenza, questo Giudice ha disposto una ctu, che ha sostanzialmente smentito la tesi attorea, confermando invece le eccezioni sollevate dalla banca. In particolare, il consulente nominato ha constatato che le disposizioni di pagamento mediante il portale ### richiedono tre codici: il codice titolare (che identifica l'utente), il codice pin (che consente l'accesso al portale) ed il codice O-Key a sei cifre, ossia un codice monouso della durata di 30 secondi generato dalla chiavetta (cd. token) in possesso del cliente al momento dell'esecuzione dell'operazione. Ha poi rilevato che, dopo un primo tentativo fallito di collegamento al portale avvenuto alle ore 9,00 del mattino del 15.06.2018, il ### su invito del servizio di assistenza, che ha negato malfunzionamenti del sito, è riuscito ad accedere al portale da altra postazione pc e ad effettuare n. 10 bonifici tra le ore 9,29 e le ore 9,38, dopodichè alle ore 10,28 si è verificato un nuovo accesso, conclusosi con il bonifico contestato, andato a buon fine alle ore 11,03 dopo un primo tentativo fallito alle ore 11,01 per codice OTP risultato errato. La circostanza dirimente ai fini di causa, riscontrata dal ctu, afferisce all'indirizzo IP, che risulta essere sempre il medesimo sia con riferimento ai primi dieci bonifici sia con riferimento a quello delle ore 11,03 sia addirittura con riferimento a tutti i bonifici delle settimane precedenti, dal che il ctu ha desunto che l'indirizzo IP utilizzato dallo studio del ### è fisso e non variabile sulla base del contratto concluso dal ### con l'### (sul punto il consulente rileva che lo studio dell'attore sia dotato di due diverse connessioni internet ma non è dato sapere quale delle due sia stata utilizzata in data ###: la prima tramite la rete TIM della compagnia ### che si avvale del proxy centralizzato di ### e la seconda tramite provider contrattualizzato direttamente dall'### del ### con il sistema ### ma ancor di più che il bonifico disposto in favore del D'### è stato effettuato dallo studio del ### e quindi o da lui stesso ovvero da qualcuno entrato in possesso delle sue credenziali. Il consulente ha, quindi, ipotizzato che l'attore sia stato vittima del cd. Man in the browser, ossia di un malware installatosi silenziosamente sul pc ed attivatosi al momento dell'operazione, modificandola senza che la vittima e la banca se ne potessero accorgere: “Si tratta di una ipotesi molto particolare in cui, nonostante la banca abbia messo a disposizione del cliente dispositivi tecnologicamente avanzati (come la c.d. autenticazione a due fattori) ed il cliente li abbia correttamente utilizzati, si verifica ugualmente la truffa per mezzo di un virus che permette al malfattore di intercettare e manipolare il traffico internet che l'utente crede privato e protetto. Il malware ### si annida in modo silenzioso nel computer della vittima senza creare alcun malfunzionamento o alterazione del sistema tali da attrarre l'attenzione dell'utente. Quando un cliente si collega al proprio conto bancario, è sufficiente che utilizzi un browser ### infetto per innescare transazioni illecite. Il malware resta completamente “dormiente” attivandosi solo nel momento in cui l'utente si colleghi ad un sito finanziario compreso fra quelli che il programma abbia posto nel mirino (targeted banks). In quel preciso istante il malware “si risveglia” ed entra in azione captando il collegamento dell'utente ed intercettando la transazione modificandola. Anche l'utilizzo dell'autenticazione a due fattori, utilizzata nel caso in questione, non è esente da rischi. ### che si autentica, dopo aver fornito user e password, deve confermare un codice che tipicamente gli viene inviato tramite SMS o mediante codice ### Tuttavia, una tipologia di malware ### particolarmente evoluta potrebbe tuttavia intercettare i dati di un'operazione, per esempio di un bonifico, e mostrare all'utente i dati originali, ma inviare alla banca quelli alterati (ad esempio, cambiando l'importo e il beneficiario). A quel punto l'utente si troverebbe a confermare l'operazione del malware pensando invece di completare la propria.”. Al contempo però il ctu rileva un'evidente anomalia: l'attore sostiene di non essersi più collegato dopo avere terminato i primi 10 bonifici, così negando recisamente di essersi collegato alle ore 10,28, tuttavia qualcuno dal suo studio deve necessariamente essersi collegato per due trancianti ordini di ragioni: “a. ### IP con il quale ci si collega all'home banking è di tipo statico, non varia durante il giorno, ed è lo stesso indirizzo utilizzato, nella stessa mattina, per eseguire i bonifici precedenti. b. Per potersi collegare all'home banking la procedura prevede l'inserimento di codice dinamico ### che si può solo leggere da una chiavetta e tale codice ha una validità di soli 30 secondi”. Orbene, alla luce degli accertamenti peritali svolti, deve rilevarsi come la ricostruzione dei fatti fornita dall'attore è stata del tutto smentita. Infatti, egli ha sempre sostenuto che il portale ### non funzionasse in data ### e che non avesse effettuato alcuna operazione online, in quanto le uniche due indicate dalla controparte erano state effettuate mediante il numero verde. Diversamente, risulta che il portale funzionasse, tanto che lo stesso attore quella mattina ha disposto ben dieci bonifici, tra i quali figura anche quello di € 20.000,00 effettuato in favore del suo conto personale, che egli aveva sempre sostenuto essere stato effettuato tramite il numero verde. Dunque, risulta smentita per tabulas la principale tesi attorea del malfunzionamento dei sistemi informatici di ### e dell'inaccessibilità al sito, visto che lo stesso attore ha posto in essere svariate operazioni, tutte andate a buon fine e non disconosciute. Ancor più rilevante risulta la circostanza per cui tutti i bonifici effettuati in data ### sono riferibili ad un unico indirizzo IP pacificamente attribuibile alla connessione internet in uso presso lo studio del ### il che ha indotto il ctu ad affermare in maniera certa che il bonifico contestato sia stato disposto da uno dei pc presenti in quello studio. Ecco che allora, considerato che il ### ha mantenuto sempre la medesima posizione in merito all'omesso collegamento al sito della banca alle ore 10,28, non può di certo optarsi per la soluzione propugnata dal consulente per cui l'attore sarebbe stato vittima di un malware denominato Man in the browser, posto che lo stesso consulente evidenzia come questo virus si attivi sul pc al momento in cui viene effettuata l'operazione, interponendosi tra il cliente e la banca, sicchè il suo presupposto indefettibile è che il ### si sia effettivamente collegato a quell'ora ed abbia disposto un bonifico, poi modificato occultamente dallo spyware. Ed invero, lo stesso consulente mette in evidenza questa incongruenza e postula per l'appunto che l'attore si sia invece collegato, sebbene egli lo abbia sempre negato. Orbene, rilevato che l'attore ha più volte cambiato versione (prima ha affermato che il sito della banca fosse del tutto inaccessibile il giorno 15.06.2018 e che non avesse in quella data effettuato alcuna operazione online, salvo poi ammettere in sede di operazioni peritali e nelle ultime memorie finali di essersi sì collegato, di avere effettuato i bonifici indicati dal consulente ma non anche quello contestato), è chiaro che tutte le allegazioni difensive debbano essere vagliate con molta attenzione, soprattutto in considerazione del fatto che al contrario le deduzioni difensive della banca sono risultate fondate: l'operazione contestata è stata effettuata dal ### o da soggetto in possesso dei suoi codici segreti collegandosi dal suo ufficio, tenuto conto dell'indirizzo IP utilizzato; il portale ### era funzionante, tant'è che l'attore ha effettuato ben dieci bonifici aldilà di quello contestato; il sistema di autenticazione utilizzato per l'operazione non presentava apparentemente alcuna anomalia e non è frutto di una forzatura del sistema, posto che l'operazione è stata completata solo dopo il corretto inserimento del codice OTP generato istantaneamente con la chiavetta. È pur vero che delle stranezze nell'operazione si riscontrano: il bonifico è stato effettuato dopo trentatrè minuti dal login e nel report della banca risulta che l'accesso sia avvenuto da “e/c” anziché da login, come per i bonifici delle 9,37. Sulla prima la banca ha spiegato che il logout automatico dopo cinque minuti non è avvenuto o perché il cliente ha navigato nella sua area magari al fine di consultare documenti oppure perché l'hacker ha mantenuto attiva la connessione inviando dei ping. Sulla seconda non ha fornito alcuna spiegazione. Alla luce dei fatti appena descritti, occorre adesso valutare se le parti del giudizio abbiano assolto il rispettivo onere della prova e quindi se la domanda sia o meno fondata. Sul punto, occorre premettere che l'attore invoca la responsabilità della banca ai sensi degli artt. 10 e 11 del d.lgs. 11/2010 (attuativo della ### n. 2007/64/CE relativa ai servizi di pagamento nel mercato interno, nella versione post d.lgs. 15 dicembre 2017, n. 218, che ha dato attuazione alla #### 2015/2366, cd. PSD 2)1, sicchè - stante il disconoscimento di un'operazione di pagamento da parte del cliente - è precipuo onere dell'intermediario 1 Art. 10 (Prova di autenticazione ed esecuzione delle operazioni di pagamento) 1. Qualora l'(###) di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento gia' eseguita o sostenga che questa non sia stata correttamente eseguita, e' onere del prestatore di servizi di pagamento provare he l'operazione di pagamento e' stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti. ((1-bis. Se l'operazione di pagamento e' disposta mediante un prestatore di servizi di disposizione di ordine di pagamento, questi ha l'onere di provare che, nell'ambito delle proprie competenze, l'operazione di pagamento e' stata autenticata, correttamente registrata e non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti connessi al servizio di disposizione di ordine di pagamento prestato.)) ((2. Quando l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, non e' di per se' necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utente medesimo, ne' che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o piu' degli obblighi di cui all'articolo 7. E' onere del prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornire la prova della frode, del dolo o della colpa grave dell'utente.)). Art. 11 (Responsabilita' del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate) ((1. Fatto salvo l'articolo 9, nel caso in cui sia stata eseguita un'operazione di pagamento non autorizzata, il prestatore di servizi di pagamento rimborsa al pagatore l'importo dell'operazione medesima immediatamente e in ogni caso al piu' tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell'operazione o riceve una comunicazione in merito. Ove per l'esecuzione dell'operazione sia stato addebitato un conto di pagamento, il prestatore di servizi di pagamento riporta il conto nello stato in cui si sarebbe trovato se l'operazione di pagamento non avesse avuto luogo, assicurando che la data valuta dell'accredito non sia successiva a quella dell'addebito dell'importo.)) 2. In caso di motivato sospetto di frode, il prestatore di servizi di pagamento puo' sospendere il rimborso di cui al comma 1 dandone immediata comunicazione ((per iscritto alla ### d'###) all'((...)). ((2-bis. Se l'operazione di pagamento e' disposta mediante un prestatore di servizi di disposizione di ordine di pagamento, il prestatore di servizi di pagamento di radicamento del conto rimborsa al pagatore immediatamente e, in ogni caso, entro la fine della giornata operativa successiva, l'importo dell'operazione non autorizzata, riportando il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l'operazione di pagamento non avesse avuto luogo. In caso di operazione di pagamento non autorizzata, se il relativo ordine di pagamento e' disposto mediante un prestatore di servizi di disposizione di ordine di pagamento, quest'ultimo e' tenuto a rimborsare immediatamente e, in ogni caso, entro la fine della giornata operativa successiva, senza che sia necessaria la costituzione in mora, al prestatore di servizi di pagamento di radicamento del conto su richiesta di quest'ultimo, gli importi rimborsati al pagatore. Se il prestatore di servizi di disposizione di ordine di pagamento e' responsabile dell'operazione di pagamento non autorizzata, risarcisce immediatamente e, in ogni caso, entro la fine della giornata operativa successiva senza che sia necessaria la costituzione in mora il prestatore di servizi di pagamento di radicamento del conto, su richiesta di quest'ultimo, anche per le perdite subite. In entrambi i casi e' fatta salva la facolta' del prestatore di servizi di disposizione di ordine di pagamento di dimostrare, in conformita' a quanto disposto dall'articolo 10, comma 1-bis, che, nell'ambito delle sue competenze, l'operazione di pagamento e' stata autenticata, correttamente registrata e non ha subito le conseguenze di guasti tecnici o altri inconvenienti relativi al servizio di pagamento da questo prestato, con conseguente diritto in questi casi alla restituzione delle dimostrare che i propri sistemi non abbiano subito malfunzionamenti e che l'operazione sia stata regolarmente autenticata ovvero che l'utilizzatore abbia agito con dolo o colpa grave, venendo meno agli obblighi di servirsi dello strumento di pagamento in conformità ai termini del servizio e di denunciare tempestivamente lo smarrimento o ogni altro uso non autorizzato dei propri codici o dispositivi di sicurezza. Dunque, la normativa in materia delinea una responsabilità contrattuale da inadempimento della banca, da cui la stessa può liberarsi assolvendo al rigoroso onere della prova inerente la dimostrazione del funzionamento dei sistemi informatici e del dolo o della colpa grave con cui il cliente ha agito: “[…] sebbene alla vicenda non sia applicabile ratione temporis (le operazioni delle quali si discute risalgono infatti al settembre 2005) la direttiva 2007/64/CE del ### europeo e del consiglio del 13 novembre 2007, relativa ai servizi di pagamento nel mercato interno, cui è stata data attuazione con il d. Igs. 27 gennaio 2010, n. 11 (v., in particolare, artt. 10 e ss.), il punto di equilibrio divisato da tale disciplina risulta essere sostanzialmente in linea con le regole generali relative alla ripartizione della prova in tema di inadempimento contrattuale e di verifica della diligenza dell'agente professionale. Infatti, l'impossibilità della prestazione derivante da causa non imputabile al soggetto obbligato (art. 1218 cod. civ.) richiede la dimostrazione di eventi che si collochino al di là dello sforzo diligente richiesto al debitore. Ne discende che, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema (ciò che rappresenta interesse degli stessi operatori), appare del tutto ragionevole ricondurre nell'area del rischio professionale del prestatore di servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente, la possibilità di una utilizzazione dei codici da parte di terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo.” (cfr. Cass. Sez. 1 - , Sentenza n. 2950 del 03/02/2017). somme da quest'ultimo versate al prestatore di servizi di pagamento di radicamento del conto ai sensi del presente comma.)) ((3. Il rimborso di cui ai commi precedenti non preclude la possibilita' per il prestatore di servizi di pagamento di dimostrare, anche in un momento successivo, che l'operazione di pagamento era stata autorizzata. In tal caso, il prestatore di servizi di pagamento ha il diritto di chiedere direttamente all'utente e ottenere da quest'ultimo la restituzione dell'importo rimborsato ai sensi dei commi 1 e 2-bis.)) 4. Il risarcimento di danni ulteriori subiti puo' essere previsto in conformita' alla disciplina applicabile al contratto stipulato tra l'(###) e il prestatore di servizi di pagamento ((compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento)). La banca, quale operatore professionale, ha l'onere di agire adottando la diligenza dell'accorto banchiere, così da mettere al riparo i propri clienti da eventuali frodi informatiche perpetrate da terzi. Ciò posto, applicando i principi appena esposti al caso di specie, deve rilevarsi che senz'altro la banca ha pienamente assolto al proprio onere probatorio, laddove la ctu ha escluso che il sistema informatico della banca presentasse malfunzionamenti o anomalie, tanto che nella data del 15.06.2018 l'attore ha eseguito ben dieci bonifici online, tutti andati a buon fine, circa un'ora prima del secondo accesso al sito. Inoltre, l'operazione incriminata è stata eseguita da un IP address riconducibile pacificamente all'attore e coincidente con quello utilizzato usualmente per tutti i bonifici precedenti a quello contestato, sicchè non vi erano motivi per dubitare della provenienza dell'operazione dal cliente. Ancora, risulta confermato dal consulente che il bonifico in questione è avvenuto dopo la regolare autenticazione del cliente, che ha effettuato il login con le proprie credenziali e solo successivamente all'inserimento di un codice otp dinamico, che poteva essere inserito solo da un soggetto in possesso del token che lo ha generato. Ciò significa che non vi è stata alcuna forzatura del sistema e l'operazione è stata completata solo grazie all'inserimento dell'### È pur vero che qualche stranezza nell'operazione vi sia, tuttavia è plausibile quanto riferito dalla banca circa il fatto che la connessione è durata mezz'ora prima della disposizione del bonifico senza che sia intervenuto il logout automatico previsto come forma di sicurezza o perchè il cliente ha navigato nella sua area clienti oppure perché l'hacker ha inviato dei ping che hanno mantenuto attiva la connessione. Nulla è stato invece dedotto dalla banca circa l'ulteriore rilievo effettuato dal ctu in merito all'origine della connessione: da login nel primo accesso effettuato dal ### alle ore 9,27 e “da e/c” nel secondo accesso. Orbene, entrambi i rilievi del ctu non sono idonei a configurare una responsabilità della banca innanzitutto perchè trattasi di aspetti mai contestati dall'attore in nessuno dei propri scritti difensivi ed in secondo luogo perché non dimostrano in alcun modo l'esistenza di falle nel sistema informatico: è ben plausibile la spiegazione fornita dalla banca in merito alla durata del collegamento, peraltro non eccessiva (circa mezz'ora); non è dato sapere il significato delle diciture “da login” e “da e/c” ma è incontestabile che l'operazione, a prescindere da come sia avvenuto il login, si sia potuta completare solo grazie alla generazione del codice ### non avvenuta per via informatica ma meccanicamente pigiando il tastino del token. In sostanza, un eventuale ipotetico accesso illecito non sarebbe stato sufficiente per effettuare la disposizione di bonifico, richiedendo necessariamente l'utilizzo della chiavetta fisica in esclusivo possesso del ### Non vi erano, quindi, ragioni di dubitare circa la riconducibilità dell'operazione al cliente alla luce della corretta autenticazione dell'operazione con tutti i passaggi necessari e della sua provenienza dall'indirizzo IP sempre utilizzato dal cliente; circostanza invero questa che consente di affermare con certezza che l'operazione sia partita dallo studio del ### per sua mano o per mano di altro soggetto in grado di utilizzare una delle postazioni informatiche ivi situate ed in possesso del token del cliente, oltre che delle sue credenziali di accesso. La banca ha, pertanto, dimostrato sia che il portale ### fosse perfettamente funzionante in data ###, così smentendo recisamente la tesi attorea, sia che l'operazione è stata approvata perché esente da anomalie che potessero insospettire l'istituto bancario. Né vale quanto laconicamente affermato dall'attore circa la necessità di una previa comunicazione via fax del bonifico, come avvenuto per quello di € 145.963,05 effettuato sempre in quella data in favore della ###ni spa. Infatti, l'attore si limita a richiamare il contratto sottoscritto con la banca (all. 1), che - a suo dire - prevedeva tale obbligo, ma in realtà nel suddetto contratto richiamato nell'atto di citazione non si rinviene alcuna clausola in tal senso. Invero, appare plausibile che, in considerazione dell'ingente importo del bonifico effettuato nei confronti della compagnia assicurativa, fosse necessario un simile adempimento, che invece per un'operazione di valore di gran lunga inferiore non era necessario. Sulla scorta di tali considerazioni, emerge chiaramente come la banca abbia agito in modo diligente. ### canto, risulta altresì provata la colpa grave del cliente, che esclude qualsivoglia responsabilità della banca. Infatti, le risultanze peritali hanno consentito di appurare come l'operazione sia partita dall'ufficio del ### il quale però nega fino alla fine di essersi collegato al portale alle ore 10,28. Ciò può significare solo che l'operazione sia stata effettuata da un terzo soggetto in possesso delle credenziali del ### e della sua chiavetta da una delle postazioni informatiche presenti nell'agenzia. Una simile ipotesi costituisce senz'altro una colpa grave del cliente, venuto meno all'obbligo previsto dall'art. 7 del d.lgs. 11/2010 di adottare tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate ed a quelli contrattuali di cui alla clausola n. 5: “Le credenziali […] devono essere custodite con la massima cura e in luogo riservato e utilizzate esclusivamente dall'utente cui sono assegnate” ed alla lettera di consegna ### ove si legge che il cliente si è impegnato a “mantenere segreti i codici di identificazione che sono strettamente personali e non cedibili a terzi, nonché a custodirli ed utilizzarli con la massima diligenza”. Per le ragioni esposte, la domanda deve essere rigettata e conseguentemente le spese di ctu vanno poste definitivamente a carico dell'attore, così come le spese di lite, che si liquidano in complessivi € 4.230,00, per onorari, oltre iva, cpa e rimborso forfettario al 15%, quantificati ai sensi del DM 55/2014, tenuto conto del valore della controversia e dell'attività difensiva svolta (risultata non particolarmente complessa, alla luce del tenore degli atti di costituzione, con riferimento alle prime due fasi, per cui si riconoscono i minimi tariffari). P.Q.M. Il Tribunale, definitivamente pronunciando, ogni diversa istanza disattesa o assorbita, così provvede: 1. Rigetta la domanda attorea; 2. Condanna la parte attrice a rimborsare alla parte convenuta le spese di lite, che si liquidano in € 4.230,00, per onorari, oltre ### CPA e rimborso forfetario al 15%; 3. Pone le spese di ctu definitivamente a carico dell'attore. Così deciso in ### il ###.

il Giudice
Dott.ssa ###

causa n. 65/2020 R.G. - Giudice/firmatari: Luppino Elena Manuela Aurora

pagina generata in 0.182 secondi in data 16 dicembre 2025 (IUG:5N-9BD3DD) - 2193 utenti online