Latest / #define banking / Frodi Finanziarie e rimborsi: perché in Europa potrebbe cambiare tutto

Transcript

Frodi Finanziarie e rimborsi: perché in Europa potrebbe cambiare tutto · #define banking

0:00
The fine banking podcast ufficiale di azienda banca, a
0:04
cura di Alberto Grisoni. Anche nel 2025 la criminalità
0:10
informatica non ha conosciuto nessuna crisi.
0:13
Sono infatti cresciuti sia la quantità di dati di cittadini
0:17
italiani presenti nel dark web, sia l'impatto delle violazioni
0:23
in termini ad esempio di gravità.
0:25
Grazie all'intelligenza artificiale sono poi diventate
0:28
ancora più sofisticate e pericolose le campagne di
0:31
phishing che cercano di ingannare le vittime e di
0:34
indurle a rivelare informazioni personali dati.
0:37
Finanziari o ovviamente codici di accesso password EOTPA Marzo
0:42
2026 qualche settimana fa c'è stata una novità importante sia
0:46
per le banche sia per i loro clienti.
0:48
L'avvocato generale della Corte di giustizia dell'Unione europea
0:51
ha infatti proposto di rendere immediato il rimborso delle
0:56
operazioni non autorizzate in seguito a Fishing.
0:59
Un parere che, se venisse accolto, avrebbe delle
1:02
conseguenze davvero importanti. Ce le facciamo spiegare da Marco
1:06
Tullio Giordano dello studio legale 42 l'Offerm Marco
1:10
Benvenuto. Ciao a tutti, grazie Alberto,
1:13
Buonasera a tutti II vostri ascoltatori del podcast.
1:16
Allora ho iniziato a raccontare di questo parere espresso
1:19
dall'Avvocato generale presso la Corte di giustizia dell'Unione
1:23
europea. È un'espressione che sa un po di
1:25
legalese, se vi passi il termine, poi spiegarci che cosa
1:28
significa questo parere e anche. Che cosa è stato?
1:33
Detto assolutamente hai ragione, non è non è una notizia.
1:37
Diciamo che sentiamo quotidianamente quella dei
1:40
pareri dell'avvocato generale. Dovete sapere che quando
1:43
un'azione giudiziaria iniziata in uno dei 27 Stati dell'Unione
1:47
termina il percorso nazionale, c'è sempre la possibilità di
1:51
portare il caso dinanzi alla Corte europea di giustizia
1:55
qualora le norme interessate siano norme di portata
1:58
comunitaria, quindi che interessino tutti i cittadini
2:01
nell'Unione, poiché. I sistemi di pagamento,
2:04
l'operatività delle banche dei nostri conti correnti e via
2:07
dicendo, discendono da una direttiva europea che si chiama
2:10
PSD due, acronimo di payment service Directive 2. 1 dei
2:15
tantissimi casi che quotidianamente vengono
2:18
dibattuti nelle aule di tribunale proprio in relazione
2:21
alle conseguenze delle frodi finanziarie, è arrivato fino
2:24
davanti alla Corte. Quando si arriva davanti alla
2:26
Corte di giustizia europea, oltre a.
2:30
I rappresentanti diciamo delle parti è solito intervenire anche
2:34
l'avvocato generale, quindi? L'avvocato generale è un
2:37
giurista che lavora presso la Corte europea di giustizia e nel
2:41
presentare il caso alla Corte, quindi ai giudici che dovranno
2:45
decidere, solitamente esprime anche un parere.
2:49
Ora, in uno di questi casi, appunto, che atteneva una frode
2:52
phishing per cui il correntista di una banca era incappato in
2:56
una frode e aveva pagato. L'avvocato generale della Corte
3:00
ha presentato. Delle conclusioni in cui espone
3:02
una teoria difforme da quella che è la prassi quotidiana,
3:06
solitamente appunto a seguito dell'entrata in vigore della
3:09
PSD. Due si si deve provare prima di
3:12
ottenere un rimborso, che non ci sia stata colpa grave, che
3:17
magari il l'operazione fraudolenta sia conseguita ha
3:21
delle misure di sicurezza troppo basse da parte della banca
3:25
piuttosto che da motivazioni che appunto attengono la piattaforma
3:29
di pagamento e l'avvocato. Questa volta ha detto no.
3:33
Secondo noi, nel momento in cui un consumatore, quindi un
3:38
cittadino, subisce una frode finanziaria e fa un reclamo alla
3:42
banca, sarebbe più tutelante appunto per i cittadini,
3:46
spieghiamolo quelli retail, che la Banca provvedesse
3:50
immediatamente a un rimborso rapido e poi, in una fase
3:54
successiva, svolgesse le opportune attività di verifica e
3:58
nel caso in cui si individuasse una responsabilità?
4:01
Responsabilità connotata però, è questo il punto importante da
4:05
colpa grave in capo al correntista.
4:09
Chieda praticamente i soldi indietro e quindi chieda di
4:12
essere rimborsata dell'ammanco che altrimenti graverebbe sulle
4:15
casse della Banca. Stessa.
4:17
Allora intanto grazie per la precisazione, stiamo parlando di
4:20
cliente retail, di cliente privato, di cittadino, non di
4:24
imprese. Se capisco bene.
4:26
Ma questo è un'altro punto importante, nel senso che queste
4:29
disposizioni discendono da una direttiva europea, la PSD due la
4:34
PSD due prevede la possibilità di deroghe tra le parti.
4:38
Quindi, al netto delle norme minime di funzionamento di
4:43
questi rapporti bancari, prevede e lascia la libertà alle parti,
4:46
e quindi alle singole banche, di corroborare, modificare,
4:50
diversificare i contratti con i clienti.
4:53
La prassi, solitamente, è che per i conti business le regole
4:56
siano un po più stringenti. Naturalmente, ripeto, il
5:00
principio di fondo è quello della tutela del consumatore.
5:03
Il consumatore retail ha meno diligenza o meno conoscenza.
5:07
Meno attenzione. Quindi, si presume.
5:09
Cliente business e quindi quello professionale o aziendale abbia
5:14
delle delle difese immunitarie. Un pochettino più più forti,
5:17
permettetemi di dire. In realtà però questo intervento
5:20
dell'avvocato generale, qualora accettato e quindi quando
5:25
diventi un orientamento o addirittura si cristallizzi in
5:28
una norma successiva, ricordiamo che sta per essere emanata la
5:33
PSD tre, quindi la la. La discendente diretta della
5:37
normativa attuale e a. Quel punto temo che diventerebbe
5:41
una prassi valida per tutti, non soltanto per i clienti retail,
5:44
ma naturalmente una prassi per tutti i correntisti delle
5:47
banche. Allora che cosa cambia
5:49
concretamente per il cliente oggi se ahimè si finisce vittima
5:55
di di phishing? Se ho capito bene, il cliente
5:58
deve presentare reclamo e. In qualche modo dimostrare di
6:03
non avere avuto colpa. Colpa grave.
6:05
Adesso invece la questione il modello si ribalta.
6:09
Assolutamente si ribalterebbe se venisse accettata la la la
6:13
proposta diciamo dell'avvocato generale, però sì, la direzione
6:16
è è quella nel momento stesso in cui la Banca deve rimborsare
6:21
solo a seguito di dimostrazioni abbastanza complesse da parte
6:25
del cliente retail. L'intero procedimento no,
6:28
l'intera pratica si chiude abbastanza velocemente e non si
6:32
fanno degli approfondimenti. Cioè il cliente ti dice Eh
6:35
guarda, sono sono stato chiamato da un numero che sembrava quello
6:39
della Banca per dire piuttosto che ho ricevuto una
6:42
comunicazione, ho pagato. La Banca ti dice, ma lei aveva
6:45
la T Factor authentication attiva, la strong
6:48
authentication, quindi diciamo 2 2 diversi.
6:52
Livelli di autenticazione prima di disporre l'operazione si si.
6:57
Beh, quindi la disposizione proviene da lei evidentemente.
7:00
E allora ci dispiace, ma noi non provvediamo al rimborso.
7:04
I clienti nello stato attuale devono iniziare un procedimento
7:09
giudiziario che puoi immaginare soprattutto per i clienti
7:12
retail, ma pensiamo anche per degli importi diciamo ridotti.
7:15
È un blocco alla prosecuzione del del rimborso della pratica.
7:19
Difficilmente un utente si mette a fare causa alla propria banca
7:23
perché vuole battere i pugni e vuole insistere ad avere il
7:26
rimborso con questo. Cambio di prospettiva proposto
7:30
dall'avvocato generale in queste conclusioni, innanzitutto la
7:34
Banca dovrebbe rimborsare il saldo speso ingiustamente al
7:38
cliente. E solo successivamente attivare
7:41
dei controlli. Controlli che devono andare però
7:43
in una direzione molto specifica.
7:45
Cioè o c'è stata frode da parte del cliente e quindi il cliente
7:49
sta tentando di frodare a una banca, ha disposto un pagamento,
7:52
ha fatto un bonifico e poi dice, no, ma non sono stato io, non
7:55
intendevo farlo. Me li dovete ridare.
7:58
Eppure ci deve essere una colpa grave, appunto.
8:01
Colpa grave è già un livello, lo immaginate di responsabilità
8:05
elevate? Vorrei chiederti, proprio come
8:06
come si definisce la colpa grave, perché hai hai fatto
8:09
l'esempio dell'avere fornito il codice chiamiamolo OTP, quello
8:13
che possiamo generare con l'APP della Banca, magari mentre siamo
8:17
al telefono con una finta operatore che si spaccia per
8:20
qualcuno che ci chiama dalla filiale, tipicamente in una
8:23
situazione di di emergenza. Perché poi?
8:26
Perché poi parliamo di criminali, quindi sanno
8:28
perfettamente quando le vittime sono più vulnerabili.
8:32
Come trarle in inganno? E Social Engineering, mi
8:35
permetto di dire, Eh, qua si ha hanno una professionalità
8:39
elevatissima, hanno hanno studiato, dico che si si sono
8:42
formati all'Accademia delle frodi finanziarie, quindi come
8:45
dici tu sanno perfettamente come convincere il il cliente.
8:49
Però provando a rispondere, allora facciamo degli esempi
8:52
abbastanza tipici. No, un esempio di colpa grave,
8:55
quello che io segnerei da matita rossa, mi permetto di dire è.
9:00
L'annotazione visibile non protetta del proprio PIN
9:03
password o lasciare il il token che genera gli OTP in bella
9:08
mostra sulla scrivania dell'ufficio.
9:11
Cosa direi abbastanza frequente. Oppure non so il tipico post IT
9:15
appiccicato dietro la carta di credito con il PIN della carta
9:19
di credito. Ecco, quello è un esempio di
9:21
colpa grave. Perché?
9:22
Perché la buona diligenza prevede che le persone debbano
9:25
custodire gelosamente. Da occhi indiscreti.
9:29
Le credenziali di autenticazione poi, naturalmente, possiamo
9:32
pensare a casi forse ancora più limite, no, la consegna
9:37
deliberata piuttosto che la consegna consapevole di
9:40
credenziali a terzi, fuori dal contesto di un inganno che sia
9:44
plausibile. Cioè Alberto, queste sono i le
9:48
mie credenziali e questo è il mio OTP.
9:51
Pensa tu a fare quel pagamento, poi magari tu distrai dei fondi
9:56
e io non posso sicuramente dire di non avere responsabilità
9:59
nell'averti consegnato delle credenziali che dovrebbero
10:02
essere personalissime. Facciamo un terzo esempio,
10:05
possiamo pensare ignorare quegli alert di sicurezza espliciti
10:09
inequivoci che provengono dalla Banca, non tanto quegli alert
10:13
generici del tipo state attenti, non.
10:16
Mentre le vostre credenziali a terzi.
10:18
Ma ad esempio cari correntisti, vi avvisiamo che abbiamo subito
10:22
un data breach, i vostri numeri di telefono potrebbero essere
10:25
nelle mani di sconosciuti. Qualcuno vi potrebbe contattare
10:28
in nome e per conto della banca. È un alert esplicito e
10:32
inequivoco a stare attenti nei giorni nelle settimane
10:36
successive a un incidente. Fatti questi esempi di colpa
10:39
grave, proviamo allora a delineare quali sono degli
10:43
esempi in cui invece la colpa per esempio non è grave.
10:46
La responsabilità nella nell'ordinamento giuridico
10:49
italiano si dettaglia o con il dolo, quindi o consapevolmente
10:53
voglio frodare la Banca. Poi ci può essere l'errore, cioè
10:57
sbaglio, a considerare alcuni fattori.
10:59
E poi c'è la colpa e appunto la colpa grave.
11:02
Avrai capito, diciamo la la gravità appunto delle delle
11:05
condotte che ti ho enumerato fino fino ad ora.
11:08
Però facciamo invece degli esempi di colpa non grave.
11:11
Beh, per esempio accadere. Preda di phishing con dei siti
11:17
clone della Piattaforma bancaria che siano credibili perché si
11:22
ritiene non colpa grave, perché se il sito è credibile, l'url è
11:25
uguale. Addirittura a volte può capitare
11:28
che l'url sia un sottodominio della banca o dell'ente
11:32
finanziario che è stato bucato e il il suo server viene
11:36
utilizzato per deviare dei fondi.
11:40
Piuttosto che pensiamo a dei casi di Vishing vishing, è il
11:43
fishing video o audio, quello in cui appunto lo anticipavi tu
11:48
prima un operatore simula di essere un operatore della Banca
11:51
e guida l'utente passo passo nel svolgere le attività, oppure
11:55
pensiamo a quelle operazioni autorizzate sotto magari
12:01
circostanze condotte di pressione oppure di inganno
12:05
soprattutto. Soprattutto se supportate da
12:07
tecniche che possono essere particolarmente persuasive
12:10
oppure evolute sostanzialmente, il messaggio è, più è
12:14
sofisticato l'attacco, meno è rimproverabile il cliente.
12:18
E ripetiamo, stiamo parlando di clienti retail.
12:21
Se, ribadiamo, se questo parere dell'avvocato generale venisse
12:27
accolto, che cosa cambierebbe invece per le banche?
12:31
Perché se si inverte. L'onere di dimostrare la colpa
12:35
grave anche le banche dovranno immagino adottarsi di sistemi
12:39
tecnologici e di prassi diverse. Ma come dicevo, secondo me fino
12:44
a oggi le banche si sono un po accomodate sul fatto che sono
12:49
tenute a rimborsare solo se viene provato dal correntista,
12:54
diciamo che ci sia una responsabilità gravante sulla
12:57
banca. E questo, come ti dicevo,
12:59
probabilmente anche per una questione meramente di business,
13:02
ha portato a non sviluppare, direi anticorpi sistemi
13:07
antifrode. Attenzione alla customer
13:10
Journey, attenzione alla gestione dei reclami.
13:13
Semplicemente le banche non pagavano.
13:15
I clienti che si rivolgono al nostro studio vengono da noi
13:18
proprio perché bisogna fare qualcosa.
13:20
Bisogna fare il tentativo di conciliazione davanti al lomb
13:23
bancario piuttosto che 1 1 arbitro piuttosto che minacciare
13:28
azioni nei confronti della Banca o fare azioni nei confronti
13:31
della Banca. Cosa cambierà se dovessimo.
13:35
Cambiare direzione proprio a seguito di questa di questo
13:37
parere dell'avvocato generale. Beh, secondo me stiamo andando a
13:41
stuzzicare un po le banche affinché cambino l'investimento
13:46
che fanno a Monte, no? E quindi magari li si spinge a
13:49
investire un po maggiormente in sistemi antifrode, quindi
13:55
beaviora l'analytics mi viene da pensare.
13:57
Quindi studi registri log sui pattern di utilizzo da parte
14:01
degli utenti, sulla geolocalizzazione delle
14:04
operazioni, sull'utilizzo. Di sistemi di autenticazione più
14:09
forti, per esempio il fingerprinting.
14:11
Quindi ci vuole il pollice del cliente sul cellulare per poter
14:15
autorizzare. E sono tutti strumenti che
14:17
costano. No, oggi non vengono sviluppati
14:20
e queste strade non vengono percorse dalle banche perché
14:23
tanto, ripeto, dormono sonni tranquilli che finché il cliente
14:27
non li porta dinanzi a un'autorità giudiziaria loro non
14:30
hanno motivo di dover rimborsare.
14:32
Su questo devo. Dire in realtà che spesso negli
14:35
eventi dei principali circuiti di pagamento si mostrano no
14:40
tecnologie di di questo tipo già da già da qualche tempo, che
14:44
incrociando diversi dati calcolano un punteggio di
14:48
affidabilità di alcune operazioni fatte.
14:52
Però chiaramente con le carte e sui loro circuiti, quando si va
14:55
a parlare di bonifici, di altre cose, entriamo strettamente dai
15:00
sistemi della Banca. Però si può fare la si.
15:04
Si può, si può tecnicamente fare.
15:05
Ripeto, mi ha chiesto cosa cambia?
15:07
Secondo me è un cambio di paradigma che in qualche modo
15:10
mette un pochino più di ha un effetto sistemico, no?
15:13
Cioè anziché pensare a investire budget.
15:17
Nei rimborsi e nelle situazioni in cui il rimborso è
15:20
sostanzialmente dovuto, perché è obbligato.
15:23
Quindi al termine di un arbitrato, al termine di
15:25
un'azione legale, al termine della dimostrazione che qualcosa
15:28
non non sia funzionato nella tutela del consumatore, magari
15:32
si sta provando a spingere le parti contraenti forti, quindi
15:36
le banche, a attivare maggiore prevenzione.
15:39
Semplicemente no al di. Fine di non dover rincorrere
15:43
quei fondi e quindi non dover dimostrare successivamente che
15:46
c'è stata colpa grave da parte del cliente.
15:48
Magari le banche potranno sviluppare, come dicevo, sistemi
15:51
di antifrode che magari hanno già in essere ma che non hanno
15:54
esteso perché costano a tutte le tipologie di operazioni.
15:58
Rafforzamento e contestualizzazione.
16:01
Mi verrebbe da dire del della strong Factor authentication,
16:05
quindi per esempio su su base di Transaction Risk Analysis, cioè
16:10
questa specifica transazione esce dai partner usuali.
16:15
Per poterla fare devi fare più verifiche, warning intelligenti,
16:22
quindi non generici, state attenti eccetera, ma dei warning
16:25
un pochino più mirati, più approfonditi addirittura.
16:28
Durante le operazioni stesse, per esempio.
16:31
E in generale. Insomma, un cambio di assetto.
16:34
Pensiamo anche alla gestione dei reclami?
16:37
No? Oggi, ripeto, per chiunque abbia
16:39
avuto a che fare con l'ufficio reclami di una banca è
16:42
abbastanza in salita. Soprattutto, ripeto, se se ne
16:45
occupa direttamente il correntista, l'utente.
16:47
Pensiamo alla tipica casalinga di Voghera, voglio dire, non
16:50
all'avvocato, che viene incaricato per interloquire con
16:53
la Banca. Ecco, magari procedure più
16:56
accelerate per quanto attiene il rimborso, ma uguale attenzione
17:01
alla reale fase investigativa che deve capire che cosa le è
17:05
andato storto, vuoi per il rimborso ma vuoi anche
17:07
permettere una toppa no? E quindi evitare che in futuro
17:10
succedano circostanze e circostanze simili.
17:13
Ecco, forse questo sarà il vero impatto, no?
17:15
Un impatto un pochino più sistemico in cui le banche
17:18
costrette probabilmente a non accomodarsi su una posizione di
17:23
dominanza rispetto ai. Ricorrentisti potranno mettere
17:27
mettere in gioco un pochino più di prevenzione, un pochino più
17:30
di attenzione c'è da dire, e di questo abbiamo parlato in un
17:34
articolo di qualche settimane fa su azienda Banca delle cose
17:37
probabilmente cambieranno ulteriormente con l'entrata in
17:40
vigore della della nuova. Normativa hai citato poco fa la
17:43
PSD31, argomento di cui tra l'altro abbiamo già iniziato a
17:47
parlare da da diverso tempo e immagino diventerà sempre più
17:50
frequente sulle nostre pagine nei prossimi mesi.
17:54
Che cosa potrebbe cambiare ulter?
17:56
Mente proprio per quanto riguarda il la tematica dei
17:59
rimborsi. Proviamo, proviamo a commentarla
18:02
così, se da un lato questo parere e quindi questa direzione
18:06
pro Consumer dell'Unione europea sta in qualche modo mettendo sul
18:11
chi va là le banche no, perché probabilmente le penalizza,
18:14
dall'altro lato le bozze di testo normativo della nuova
18:18
direttiva che entrerà in vigore probabilmente nel corso dei
18:21
prossimi 12 barra 24 mesi, prevedono forse invece. 1.1
18:26
pochino più tutelante per quanto attiene agli istituti di
18:29
credito. La proposta normativa è quella
18:33
che la Banca debba rimborsare immediatamente, ma se poi ha
18:36
l'esito delle indagini sull'accaduto si dovesse
18:42
rinvenire una responsabilità su piattaforme web, è il tipico
18:46
caso delle frodi iniziate con post sponsorizzato sul social
18:50
network, con il contatto sulla APP di messaggistica da parte di
18:56
numeri già segnalati di cui era stato chiesto il blocco e via
19:00
dicendo. Bene.
19:01
Qualora le indagini dovessero portare a una responsabilità da
19:04
parte delle piattaforme, la Banca che è stata penalizzata
19:07
perché ha dovuto anticipare il rimborso al correntista potrà
19:11
eventualmente rifarsi sulla piattaforma web.
19:14
In buona sostanza, tradotto in lingua corrente, il linguaggio
19:18
semplice, da un lato la banca rimborsa immediatamente la
19:22
casalinga di Voghera e dall'altra richiede il rimborso.
19:26
La. Manleva al social network di
19:29
turno su cui la povera casalinga di Voghera ha trovato l'amo del
19:33
phishing, quindi l'esca, il clickbait del phishing.
19:38
E questo queste pagine di pubblicità, diciamo illecite.
19:43
Porteranno a un rimborso e quindi a una responsabilità da
19:45
parte della piattaforma? L'indirizzo è quello di provare
19:48
a distribuire nella catena del rischio le responsabilità su dei
19:54
soggetti che evidentemente potrebbero fare di più EE
19:57
alleggerire un pochettino la posizione dei consumatori.
20:01
I quali, naturalmente, dopo aver bonificato erroneamente o
20:05
colposamente dei fondi, sono sicuramente.
20:08
Sicuramente la parte soccombente, quella più debole.
20:10
Marco, grazie 1000 per essere stato con noi oggi.
20:13
Grazie a voi e a presto.