Sicurezza dei sistemi informatici di pagamento: responsabilità “semioggettiva” dell’Istituto di credito in caso di “man in the browser”.

La predisposizione di un sistema di sicurezza di tipo forte da parte della banca, infatti, non è sufficiente a dimostrare la colpa grave del cliente, che deve invece essere desunta da specifici e concreti elementi di prova indicativi della negligenza del cliente nella custodia delle proprie credenziali.

La tesi contraria, sostenuta dalla banca, non può ritenersi fondata, in quanto finisce per porre nel nulla la previsione dell’art. 10 d.lgs. 11/2010, stabilendo una presunzione di colpa grave del cliente ogniqualvolta l’intermediario dimostri di aver adottato un sistema di autenticazione forte, in netto contrasto con quanto previsto dalla predetta disposizione, che pone a carico della banca una responsabilità semi-oggettiva in caso di operazioni di pagamento elettronico disconosciute dal cliente e le impone di dimostrare la frode, il dolo o la colpa grave dello stesso.

Quanto sopra è confermato dalla consulenza tecnica d’ufficio, ove è stato rilevato che “l’uso della autenticazione a 2 fattori e della crittografia non riescono a contrastare questi tipi di malware. Anche il controllo della localizzazione dell’utente attraverso l’indirizzo IP sorgente fa supporre la connessione come genuina in quanto le richieste sono effettivamente originate dal browser della macchina che l’utente abitualmente usa.” (cfr. pag. 22 CTU del 14/3/2023).

Nel caso di specie, pertanto, non può ravvisarsi la colpa grave della Pallaoro, atteso che la banca non ha allegato né provato l’esistenza di concreti elementi indicativi della negligenza nella custodia delle credenziali, né altri profili di inadempimento del cliente agi obblighi di cui all’art. 7 del d.lgs. 11/2010.

In mancanza di prova sulla condotta colposa dell’attrice, non sussiste conseguentemente concorso di colpa della stessa, ai sensi dell’art. 1227 c.c., per la negligente custodia delle credenziali di accesso e il mancato controllo del codice SWIFT.

In definitiva, la convenuta è responsabile per avere omesso di adottare, con la diligenza dell’accorto banchiere, tutte le misure tecniche idonee a garantire un adeguato standard di sicurezza nell’effettuazione dei pagamenti elettronici a distanza, in modo tale da impedire l’accesso di soggetti non abilitati al sistema ed evitare danni al cliente.

È dunque fondata domanda di parte attrice di condanna della convenuta al risarcimento dei danni per euro 100.000,00, pari all’ammontare delle somme illecitamente sottratte dal conto corrente dell’attore attraverso i due bonifici contestati.