La trappola è scattata attraverso la più classica e insidiosa delle dinamiche di phishing: un finto acquirente, un link-trappola confezionato a regola d’arte e una pagina web identica in tutto e per tutto a quella ufficiale del proprio istituto di credito. È il copione costato caro a una correntista polacca, vittima di un prelievo non autorizzato di circa 700 euro dopo aver inserito le proprie credenziali di accesso nella convinzione, rivelatasi successivamente errata, di completare una normale transazione di e-commerce.
Ma aldilà del singolo episodio, e come questo ce ne sono centinaia ogni giorno in tutto il mondo, a fare notizia è il principio giuridico sancito dalla Corte di giustizia dell’Unione Europea con la sentenza relativa alla causa C-70/25. Una decisione in un certo senso rivoluzionaria, destinata a cambiare in modo radicale i rapporti di forza tra correntisti e banche in materia di frodi informatiche e pagamenti digitali.
Il cuore della sentenza abbatte una prassi consolidata da parte di molti istituti finanziari: quella di negare o congelare il rimborso in situazioni del genere, appellandosi a una presunta “colpa grave” del cliente, come ad esempio quella di aver condiviso credenziali o codici oppure cliccato su un collegamento ipertestuale sospetto.
Secondo i giudici della Corte, invece, il quadro normativo comunitario impone un netto solco temporale e logico tra due momenti ben distinti, vale a dire:
- Il diritto del consumatore al rimborso immediato, che deve scattare senza alcun indugio al massimo entro la fine del primo giorno lavorativo successivo alla segnalazione della frode;
- L’accertamento della responsabilità finale, ovvero la verifica di eventuali comportamenti dolosi o gravemente imprudenti da parte del cliente.
In sostanza, pertanto, la banca non può usare il sospetto di un errore commesso dal correntista come pretesto per trattenere il denaro fino a data da destinarsi. Per la Corte di giustizia dell’UE, l’istituto deve subito risarcire il danno e solo in un secondo momento, facendosi interamente carico dell’onere della prova, avrà facoltà di agire per rivalersi sull’utente, certificando in modo inequivocabile che quella perdita altro non è che la conseguenza di un comportamento gravemente incauto.
La normativa lascia spazio a rare eccezioni. L’obbligo di restituzione immediata decade soltanto se l’istituto di credito è in grado di fornire prove oggettive e inconfutabili che la truffa sia stata architettata dallo stesso correntista che ha segnalato la perdita: le evidenze, comunque, vanno comunicate tempestivamente alle autorità locali competenti in materia. A parte questa circostanza, la banca è obbligata a effettuare subito il risarcimento: viene così meno l’onere, finora spesso addossato alle vittime di frodi, di attraversare una giungla di complessi iter burocratici e interminabili controversie legali per poter rientrare in possesso dei propri risparmi.