SMS falso, conto svuotato: cosa fare (e quali diritti si hanno) dopo una truffa da smishing

SMS falso, conto svuotato: cosa fare (e quali diritti si hanno) dopo una truffa da smishing A Parma un uomo di 63 anni ha ricevuto sul cellulare un SMS con l’intestazione, apparentemente autentica, di una nota compagnia assicurativa. Il messaggio lo invitava a chiamare con urgenza un numero per non meglio precisati motivi legati all’“antiriciclaggio”. Risultato: il conto corrente prosciugato per migliaia di euro. I Carabinieri della Stazione di San Pancrazio hanno individuato e denunciato due responsabili, un 21enne e un 66enne, entrambi già noti alle forze dell’ordine per fatti analoghi, per truffa aggravata commessa con tecnica di “smishing” — la combinazione di SMS e phishing. Un episodio che si ripete con frequenza crescente, e che porta con sé una domanda molto concreta: se il conto viene svuotato in questo modo, chi paga? La vittima o la banca? Cos’è lo smishing e perché funziona Lo smishing è una variante del phishing che sfrutta gli SMS anziché le email. Il messaggio riproduce fedelmente il logo, il linguaggio e persino il numero mittente di un ente affidabile — una banca, una compagnia assicurativa, un corriere, l’Agenzia delle Entrate — e fa leva su un’emozione forte: l’urgenza, la paura di un blocco del conto, il timore di un procedimento in corso. Nel caso di Parma, il pretesto era un fantomatico controllo antiriciclaggio: una scelta non casuale, perché il tema genera allarme e spinge la vittima ad agire senza riflettere, magari chiamando un numero indicato nel messaggio e fornendo dati, codici OTP o accesso all’home banking a un falso operatore. La banca deve rimborsare? Il quadro normativo Molte persone pensano che, avendo risposto al messaggio o comunicato un codice, la responsabilità sia esclusivamente loro e il denaro sia perso per sempre. Non è così, o almeno non automaticamente. La materia è regolata dalla direttiva europea sui servizi di pagamento (PSD2), recepita in Italia con il D.Lgs. 11/2010, poi modificato dal D.Lgs. 218/2017. Il principio cardine è quello del rimborso immediato: quando un’operazione di pagamento non è stata autorizzata dal titolare del conto, l’intermediario (la banca) è tenuto a restituire la somma sottratta, riportando il conto nella situazione in cui si sarebbe trovato senza l’operazione fraudolenta. La banca può sottrarsi a questo obbligo solo se dimostra dolo o colpa grave del cliente. Cosa conta davvero come “colpa grave” Qui si gioca la partita più delicata, e la giurisprudenza — comprese le decisioni dell’Arbitro Bancario Finanziario (ABF) — non segue sempre lo stesso orientamento. Alcuni punti fermi: • Cliccare su un link o rispondere a un SMS non equivale automaticamente a colpa grave. Serve una negligenza inescusabile, una deviazione macroscopica dalle normali regole di prudenza. • La sofisticazione della truffa conta. Se il messaggio riproduce fedelmente grafica e linguaggio dell’ente reale, o se il numero di provenienza è “spoofato” (cioè camuffato per sembrare quello ufficiale), questo gioca a favore della vittima. • La banca deve comunque dimostrare di aver applicato i sistemi di sicurezza previsti, in particolare l’autenticazione forte del cliente (SCA), basata su almeno due fattori indipendenti tra conoscenza, possesso e biometria. • Al contrario, i collegi ABF tendono a negare il rimborso quando la vittima ha comunicato più codici dispositivi consecutivi dopo una telefonata sospetta, senza conservare prove del messaggio o della chiamata ricevuta — situazione che viene spesso letta come condotta gravemente negligente. In sintesi: non esiste una regola automatica. Ogni caso viene valutato sulla base della sofisticazione dell’inganno, del comportamento del cliente e della tempestività della reazione. Cosa fare nelle prime ore L’ordine delle azioni conta quanto le azioni stesse: 1. Bloccare subito carta e servizi di pagamento online, chiamando il numero di emergenza della banca (attivo 24 ore su 24 nella maggior parte degli istituti). 2. Conservare ogni prova: testo dell’SMS, screenshot, numero da cui è arrivata la chiamata, orario delle operazioni sospette. 3. Presentare denuncia alla Polizia Postale o ai Carabinieri, allegando la documentazione raccolta. 4. Inviare formale richiesta di rimborso alla banca ai sensi dell’art. 10 del D.Lgs. 11/2010, preferibilmente via PEC o raccomandata A/R. 5. Se la banca rifiuta, è possibile rivolgersi all’Arbitro Bancario Finanziario: procedura gratuita (20 euro rimborsabili), che si conclude in genere entro 12 mesi e le cui decisioni, pur non vincolanti, vengono seguite dalle banche nella grande maggioranza dei casi. Gli errori da evitare • Non conservare il messaggio o la telefonata ricevuta, privandosi così di una prova decisiva. • Attendere giorni prima di segnalare l’accaduto alla banca: la tempestività è uno degli elementi che i giudici e l’ABF valutano a favore della vittima. • Fornire più codici OTP consecutivi dopo una telefonata non richiesta: è proprio questo pattern — riscontrato anche nel caso di Parma — a essere più spesso interpretato come colpa grave. • Pensare che, avendo “sbagliato”, non ci sia nulla da fare: la legge tutela il cliente anche quando è caduto in una trappola ben costruita. Conclusione Il caso della vittima parmigiana mostra come le tecniche di smishing stiano diventando sempre più credibili, arrivando a imitare enti diversi dalle banche — in questo caso una compagnia assicurativa — per abbassare le difese di chi riceve il messaggio. Ma la normativa europea, recepita in Italia, pone un principio di tutela forte per il correntista: la banca risponde delle operazioni non autorizzate, salvo provare la colpa grave del cliente. Sapere come muoversi nelle prime ore — e conoscere i propri diritti — può fare la differenza tra una perdita definitiva e un rimborso integrale. Se sei stato vittima di una truffa online o hai ricevuto un rifiuto di rimborso dalla tua banca, lo Studio Legale Angelucci può assisterti nella richiesta di rimborso e, se necessario, nel ricorso all’Arbitro Bancario Finanziario. Per una consulenza, visita studiolegaleangelucci.it.