Phishing: non “cliccare” se non vuoi abboccare

Complici una vita frenetica e, forse, un po’ di disattenzione e siamo, senza neanche accorgercene, vittime dei link “esca”.

Per fortuna la Cassazione ci viene in soccorso.

Come nel caso di un ignaro signore, il quale, dopo aver ricevuto una mail apparentemente proveniente da Poste Italiane con cui era stato invitato ad accedere al proprio conto tramite un link, inseriva le proprie credenziali per effettuare il cambio della password.

Tempo dopo, verificava l’addebito di ben 2.900 euro, per un’operazione mai effettuata e decideva di richiedere a Poste Italiane il rimborso.

La sua domanda in primo grado veniva rigettata e, senza darsi per vinto, presentava appello.

I Giudice del gravame hanno ritenuto che “il prestatore di servizi dovesse rispondere, ai sensi del d.lgs. n. 196 del 2003, degli effetti dannosi conseguenti all’esercizio di un’attività pericolosa implicante il trattamento di dati personali non avendo l’ente dimostrato la riconducibilità dell’operazione al cliente»

Pertanto, Poste Italiane veniva condannata al risarcimento del danno pari alla somma indebitamente sottratta al correntista.

Poste Italiane decide quindi di ricorrere in Cassazione che conferma la decisione di secondo grado.

La Suprema Corte nel decidere il caso, ricorda come «la diligenza della banca va a coprire operazioni che devono essere ricondotte nella sua sfera di controllo tecnico, sulla base anche di una valutazione di prevedibilità ed evitabilità tale che la condotta, per esonerare il debitore, la cui responsabilità contrattuale è presunta, deve porsi al di là delle possibilità esigibili della sua sfera di controllo».

Il debitore (cioè la banca o, come in questo caso, Poste Italiane) deve provare il fatto estintivo dell’altrui pretesa, sicché non può omettere la verifica dell’adozione delle misure atte a garantire la sicurezza del servizio.

“Ne consegue che, essendo la possibilità della sottrazione dei codici al correntista attraverso tecniche fraudolente una eventualità rientrante nel rischio d’impresa, la banca per liberarsi dalla propria responsabilità, deve dimostrare la sopravvenienza di eventi che si collochino al di là dello sforzo diligente richiesto al debitore».

Era pertanto onere di Poste Italiane dover provare di aver adottato soluzioni idonee a prevenire o ridurre l’uso fraudolento dei sistemi elettronici di pagamento, sulla base di un principio di buona fede nell’esecuzione del contratto. In assenza di tale prova, per la Cassazione è corretta la decisione di imputarle il rischio professionale della possibilità che terzi accedano ai profili dei clienti con condotte fraudolente.

La Cassazione rigetta il ricorso presentato da Poste Italiane.