Phishing e smishing: i reati e come farsi rimborsare

I reati del phishing

Il phishing classico (email o SMS con un link a un sito che imita la banca, il corriere, l'INPS o l'Agenzia delle Entrate) e le sue varianti, lo smishing via SMS con il numero contraffatto e il vishing telefonico del «finto operatore antifrode», si scompongono in più reati che concorrono tra loro: la sostituzione di persona per l'uso del nome della banca, l'accesso abusivo per l'ingresso nel conto, la frode informatica aggravata dal furto di identità digitale per i bonifici, l'indebito utilizzo per le carte. Quando è la vittima stessa a disporre il bonifico, ingannata, il reato è la truffa, spesso aggravata dalla minorata difesa per l'uso di tecniche che sfruttano la distanza e la pressione. I conti di destinazione appartengono a prestanome reclutati online, che rispondono di riciclaggio anche quando dicono di non sapere, se le circostanze rendevano evidente l'origine illecita. La denuncia va fatta subito alla Polizia postale con tutte le tracce (messaggi, numeri, link, IBAN, orari) e alla banca per il blocco e il tentativo di richiamo dei fondi: i procedimenti penali arrivano raramente al recupero, perché il denaro passa in poche ore su conti esteri o in criptovalute, ma la denuncia serve anche come prova della diligenza nel rapporto con la banca.

Il rimborso dalla banca

1. Comunicazione immediata (art. 7): appena si scopre l'uso non autorizzato si avvisa la banca con il canale previsto e si conserva la prova (la banca deve fornirla per 18 mesi, art. 8); dopo la comunicazione nessuna perdita è a carico del cliente (art. 12, c. 1).
2. Rimborso (art. 11): per le operazioni non autorizzate il prestatore rimborsa immediatamente e comunque entro la fine della giornata operativa successiva, riportando il conto allo stato precedente con la valuta dell'addebito; può sospendere solo per motivato sospetto di frode del cliente, comunicandolo per iscritto alla Banca d'Italia.
3. Onere della prova (art. 10): tocca alla banca provare che l'operazione è stata autenticata, registrata e contabilizzata senza malfunzionamenti, e la registrazione dell'uso dello strumento non prova né l'autorizzazione né la colpa grave; senza autenticazione forte (art. 10-bis) il cliente non sopporta alcuna perdita (art. 12, c. 2-bis).
4. Franchigia e colpa grave (art. 12): nei casi di furto o smarrimento dello strumento il cliente può sopportare al massimo 50 euro; sopporta tutto solo se ha agito con frode o ha violato con dolo o colpa grave gli obblighi di custodia e comunicazione. La colpa grave si valuta in concreto: aver comunicato l'OTP nonostante l'avviso esplicito, aver seguito istruzioni palesemente incongrue, aver ignorato alert; contro la banca giocano lo spoofing che inserisce il messaggio nella conversazione ufficiale, l'assenza di alert, l'aggiunta di IBAN e l'esecuzione di più bonifici anomali senza blocco.
5. Reclamo, ABF, giudice: reclamo scritto con risposta entro 15 giornate operative; ricorso all'Arbitro Bancario Finanziario entro 12 mesi dal reclamo, 20 euro, senza avvocato, fino a 200.000 euro, con decisioni che le banche di regola eseguono; poi mediazione e causa civile; la contestazione dell'operazione va comunque fatta entro 13 mesi dall'addebito (art. 9).

Le operazioni autorizzate con l'inganno (la vittima fa il bonifico sul «conto sicuro» indicato dal finto operatore) sono il terreno più incerto: formalmente autorizzate, non rientrano nel rimborso automatico, ma l'ABF e i giudici riconoscono spesso un concorso di responsabilità della banca che non ha bloccato operazioni evidentemente anomale per importo, orario, destinazione e sequenza, o che ha subito lo spoofing del proprio numero, con rimborsi parziali. In pratica, la vittima di phishing deve muoversi in due direzioni nello stesso giorno: la denuncia, che serve al penale e alla prova, e la comunicazione alla banca, che apre il rimborso; e deve mettere per iscritto, con precisione, come è avvenuta la truffa, perché la ricostruzione dei fatti è ciò su cui si decide la colpa grave.