Truffa bancaria con spoofing, Abf riconosce diritto al rimborso

Il numero dei truffatori appariva come quello dell’istituto bancario. Sia per l’sms che allertava di un accesso anomalo al conto sia per il numero di telefono al quale un sedicente operatore dava le istruzioni per annullare il pagamento non autorizzato. Invece era una truffa con sms e telefonata fraudolenti (Sms e voice spoofing). L’Arbitro bancario finanziario (Abf) ha però riconosciuto il diritto al rimborso del risparmiatore, che ha potuto recuperare 2.200 euro.

Il caso viene raccontato da Confconsumatori Roma che ha promosso la procedura davanti all’Abf in favore del consumatore romano vittima di truffa bancaria.

La truffa via spoofing

A settembre, racconta l’associazione, l’uomo aveva ricevuto sul cellulare un Sms che lo informava della rilevazione di un accesso anomalo al proprio conto, e lo invitava a cliccare su un link indicato all’interno. Questo Sms appariva autentico, e in perfetta prosecuzione di altri messaggi genuini già presenti nella conversazione con l’intermediario.

Più tardi, lo stesso giorno, aveva ricevuto anche una chiamata proveniente da un numero telefonico identico a quello dell’intermediario: al telefono un sedicente operatore dell’intermediario aveva fornito alcune istruzioni da seguire per annullare un pagamento non autorizzato. In realtà lo stava inducendo con l’inganno a eseguire un pagamento di circa 2.200 euro verso un conto del Lussemburgo.

Quando si è reso conto della truffa, l’associato di Confconsumatori ha chiesto il rimborso all’intermediario, ricevendo però risposta negativa. A quel punto, con l’aiuto dell’associazione, ha deciso di promuovere una procedura davanti all’Abf.

L’istituto deve provare l’autenticazione forte

In casi come questo, ricorda Confconsumatori, la normativa prevede che spetti all’istituto bancario l’onere di provare l’attivazione dell’“autenticazione forte”.

Valutando gli elementi, l’Abf ha chiarito che l’intermediario non era in grado di dimostrare la corretta gestione della sicurezza durante le fasi di autenticazione necessarie per configurare una carta di pagamento o un ID digitale sul dispositivo dell’utente, e non ha inoltre dato prova dell’invio dei messaggi contenenti le OTP (One Time Password) necessarie per verificare l’identità del cliente e l’effettiva esecuzione dell’operazione tramite il suo dispositivo. Infine, non è riuscito a provare l’attivazione di un sistema di SMS alert.

«L’Arbitro Bancario e Finanziario – ha dichiarato l’avvocato Barbara d’Agostino, presidente Confconsumatori Lazio – ha nuovamente riconosciuto un principio fondamentale e precisamente la totale assenza di colpa quando si è vittima di una condotta fraudolenta, e ha oltretutto riconosciuto in modo chiaro l’obbligo degli enti, che forniscono servizi di pagamento, di garantire l’autenticazione forte del cliente (Strong Customer Authentication – SCA) richiedendo l’uso di almeno due dei tre fattori seguenti: 1. Conoscenza (qualcosa che solo l’utente conosce, come una password); 2. Possesso (qualcosa che solo l’utente possiede, come uno smartphone); 3. Inerenza (qualcosa che caratterizza l’utente, come l’impronta digitale). Il Collegio ha riconosciuto che la responsabilità gravava dunque sull’intermediario, e che la vittima aveva diritto a ottenere il rimborso delle somme illegittimamente sottratte».