Phishing bancario

7 gennaio 2024

Phishing bancario: Quale è il significato di Phishing bancario e come si ottiene il rimborso?
Come vedremo si tratta di una truffa informativa con la quale terzi sottraggono somme di denaro presenti nei conti correnti di un cliente delle banca attraverso diverse tecniche che spingono il cliente a rilevare le credenziali di accesso o che consentono l’accesso diretto al conto corrente. Esaminiamo dunque il significato di phishing bancario.

---

Phishing significato: in cosa consiste?

Cos'è il phishing? Il phishing bancario è una tecnica fraudolenta che si manifesta attraverso vari canali come email, sms o telefonate.

Attraverso questi mezzi, i truffatori ingannano le vittime inducendole a rivelare i propri codici di accesso bancario e codici dispositivi, permettendo così il furto di fondi dal conto. Sebbene la colpevolezza del truffatore sia inequivocabile, identificare e perseguire questi individui risulta spesso difficile. Molti si nascondono dietro identità fittizie o sono privi di beni, rendendo vano ogni tentativo di ottenere un rimborso da parte della vittima.

Approfondiamo il significato di phishing

Il phishing, nel suo significato fondamentale, è una truffa perpetrata su Internet, in cui un malintenzionato si finge un'entità affidabile per indurre le vittime a fornire informazioni personali, dati finanziari o codici di accesso. Il termine stesso deriva dall'inglese "fishing", ovvero "pescare", alludendo al metodo utilizzato dai truffatori per "pescare" informazioni sensibili. Questa pratica può assumere varie forme, ognuna con le sue specificità, ma con lo stesso intento fraudolento.

Una forma comune di phishing implica l'invio di email che imitano quelle di fornitori di servizi legittimi, richiedendo informazioni riservate come numeri di carte di credito o password. Questo approccio, detto anche spear phishing, si concentra su individui o aziende specifiche, aumentando le probabilità di successo tramite la personalizzazione dei messaggi. Una variante, denominata clone phishing, modifica un'email legittima, cambiandone allegati o link, e la invia nuovamente ai destinatari come se fosse una versione aggiornata, sfruttando la fiducia preesistente.

Il whaling, un altro tipo di phishing, mira a figure di spicco in aziende o entità, con email o pagine web mascherate per ottenere credenziali importanti, spesso con contenuti personalizzati, come citazioni legali o problemi amministrativi, per rendere il messaggio più credibile e specifico per il destinatario mirato. Questa tattica sofisticata sfrutta la posizione e l'influenza delle vittime per ottenere informazioni ad alto valore.

Oltre ai metodi basati su Internet, esistono forme di phishing che utilizzano canali di comunicazione alternativi. Il vishing, ad esempio, impiega telefonate per ingannare le vittime, facendo leva sull'uso di numeri che sembrano appartenere a organizzazioni affidabili. In questa variante, i malintenzionati spesso richiedono PIN o altre informazioni sensibili. Un'altra forma è lo SMishing, che utilizza messaggi SMS per inviare avvisi fraudolenti su problemi bancari, spedizioni di pacchi o minacce di malware, mirando a indurre la vittima a rivelare informazioni o a cliccare su link malevoli.

Tutte queste varianti di phishing hanno lo stesso obiettivo: sfruttare la fiducia delle vittime e la loro mancanza di consapevolezza per ottenere accesso a dati sensibili. La sofisticazione e la varietà delle tecniche di phishing enfatizzano l'importanza di essere sempre vigili e scettici riguardo le richieste di informazioni personali o finanziarie, soprattutto quando provengono da fonti non verificate o sospette. In sintesi, il phishing rappresenta un pericolo significativo nel mondo digitale odierno, richiedendo un'attenzione costante e una buona conoscenza delle sue molteplici forme per proteggersi efficacemente.

Phishing bancario: vi è diritto al rimborso da parte della banca?

Riflettendo sul phishing bancario, emerge una tendenza delle vittime a rivolgere le proprie azioni verso la banca stessa. Il motivo? Le banche sono entità solide e, spesso, l'unico soggetto presso cui cercare il rimborso delle somme perdute a causa del phishing. Ma è sempre la banca a rispondere per i danni del phishing?

Non esiste una responsabilità diretta della banca ogni qualvolta avvenga un furto di fondi dal conto di un cliente attraverso il phishing. In termini semplici, la banca è ritenuta responsabile a meno che non emerga una colpa grave da parte del cliente. Valutare la gravità della colpa del cliente nel contesto del phishing è complesso, data la vasta gamma di scenari possibili.

Molte volte, il successo del phishing si basa sulla cooperazione involontaria del cliente: cliccando su un link ricevuto via sms o email che non proviene realmente dalla sua banca, o fornendo al telefono i propri codici, pur sapendo che le banche non li richiedono. Tuttavia, vi sono circostanze in cui l'errore del cliente può sembrare giustificato, come ad esempio quando riceve un sms o una chiamata da un numero che sembra appartenere alla sua banca.

Dove si traccia la linea tra un errore scusabile e una colpa grave nel contesto del phishing bancario? Non esistono criteri definiti e ogni situazione è unica. Esaminiamo un esempio specifico di phishing bancario, illustrato da una sentenza del Giudice di Pace di Treviso.

Phishing significato: quando vi è colpa grave del cliente?

Nel contesto del phishing bancario, la questione del rimborso al cliente è particolarmente delicata e si basa essenzialmente sulla valutazione della presenza o meno di una colpa grave da parte del cliente stesso. Il phishing, nel suo significato più ampio, comprende varie tecniche fraudolente come lo smishing o il vishing, mirate a indurre l'utente a rivelare informazioni sensibili, quali credenziali bancarie o dati personali. La responsabilità della banca nel rimborsare il cliente dipende fortemente dal grado di negligenza dimostrato da quest'ultimo nel gestire le proprie informazioni.

Per illustrare questo concetto, prendiamo in esame una sentenza dell'ABF (Arbitro Bancario Finanziario) che ha affrontato un caso di phishing, dove il cliente, attraverso il proprio avvocato, ha sostenuto di aver ricevuto una email fraudolenta che lo invitava a collegarsi a un link per confermare i suoi dati bancari. Il cliente ha ammesso di aver inserito le proprie credenziali, ma ha negato di aver completato il processo fraudolento, realizzando in tempo la natura ingannevole della richiesta. Nonostante ciò, si pone la questione: è stata questa una colpa grave da parte del cliente?

La sentenza dell'ABF ha chiarito che la valutazione della colpa grave varia a seconda delle circostanze. In alcuni casi, come quando il cliente è indotto in errore da un malware o un trojan, che sottrae le credenziali senza il suo effettivo consenso, non si può parlare di colpa grave. Tuttavia, nel caso del cosiddetto "phishing tradizionale", ovvero quando il cliente cade vittima di una mail ingannevole per credulità, la responsabilità del cliente è maggiore. In particolare, si considera grave la negligenza quando l'utente comunica le proprie informazioni al di fuori dei canali ufficiali della banca, soprattutto considerando che il fenomeno del phishing è ormai noto anche agli utenti meno esperti di internet.

In conclusione, il diritto al rimborso in caso di phishing bancario si concretizza solamente in assenza di una colpa grave da parte del cliente. Laddove il cliente dimostra una negligenza significativa, come nel caso del phishing tradizionale, la banca può essere esonerata dal suo dovere di rimborso o risarcimento. Questo principio sottolinea l'importanza della consapevolezza e della prudenza da parte degli utenti nel gestire le proprie informazioni bancarie online.

Quale tutela dunque per il cliente?

Le controversie sul Phishing bancario sono complesse e hanno margini di discrezionalità rilevante da parte del giudice, non essendo facile ‘pesare’ l’errore del cliente (che nella sostanza c’è sempre) per arrivare a dire se l’episodio si Phishing bancario è imputabile a sua colpa grave.

Certamente, però, è importante prospettare correttamente i fatti e fornire adeguata prova di ciò che è successo nel caso di Phishing bancario: certo tutti sanno che non bisogna cliccare su link trasmessi per mail o sms, ma se questo messaggio proviene da un account apparatemene intestato alla banca la valutazione potrebbe essere diversa. Phishing bancario: allo stesso modo, tutti sanno che non bisogna fornire informazioni telefoniche, ma se la telefonata arriva dal numero della banca forse l’errore è maggiormente giustificabile, soprattutto per le banche che non hanno sportelli e con le quali è frequente la comunicazione a distanza.

di Marco Ticozzi