REPUBBLICA ITALIANA
In nome del Popolo Italiano
LA CORTE DI APPELLO DI GENOVA
Sezione Prima Civile riunita in camera di consiglio e così composta
Dr. Rosella Silvestri Presidente Relatore
Dr. Riccardo Baudinelli Consigliere
Dr. Stefano Tarantola Consigliere ha pronunciato la seguente
S E N T E N Z A nella causa n. 654/2024 R.G. promossa da
(C.F. – elettivamente domiciliata presso lo Parte_1 P.IVA_1 studio dell'Avv. Petrini Silvia in VIA ASSAROTTI 17 A/13 - 16122 GENOVA (GE) – rappresentata e difesa dall'Avv. GREGORONI LEONARDO appellante nei confronti di
(C.F. ), nato in CANELLI (AT) il NT C.F._1
09/12/1980, elettivamente domiciliato presso i difensori in VIA GIUSEPPE BELLUZZO 1 -
00149 ROMA (RM), rappresentato e difeso dagli Avv.ti LAURENZANO CARMINE,
MALANDRUCCO MARCO e GIACOMELLI IVANO appellato
CONCLUSIONI
Per l'appellante : “In via principale: in accoglimento Parte_1 dell'appello proposto, e per i motivi tutti ivi dedotti, riformare la sentenza del Tribunale di Genova
n. 1590/2024 pubblicata in data 22 maggio 2024 e resa all'esito del giudizio RG 778/2023, promosso dal Sig. nei confronti di mandando NT Controparte_2
l'esponente assolta da ogni domanda proposta nei suoi confronti, condannando per l'effetto il Sig.
1 alla restituzione della somma di € 7.450,00 oltre interessi legali maturati e maturandi dalla CP_1 domanda all'effettivo soddisfo, corrisposta da in esecuzione della decisione n. 7901 Parte_1
del Collegio ABF di Torino del 18 maggio 2022; in ogni caso: con vittoria di spese e compensi di entrambi i gradi di giudizio.”
Per l'appellato : “Voglia l'Ecc.ma Corte di Appello di Genova NT
Part rigettare l'atto di citazione in appello proposto da e, per l'effetto, confermare la sentenza del
Tribunale di Genova n. 1590/2024 pubblicata in data 22 maggio 2024, resa all'esito del giudizio RG
778/2023 promosso dal Sig. nei confronti di , NT Controparte_2
con ogni ulteriore effetto ai fini della integrale rifusione delle spese e onorari di lite, oltre oneri e accessori, da distrarsi in favore del sottoscritto procuratore antistatario”.
SVOLGIMENTO DEL PROCESSO
Con sentenza definitiva n. 1590/2024 del 22/05/2024, il Tribunale di Genova, in composizione monocratica, si pronunciava nella causa promossa da , nei confronti di NT
, condannando la convenuta al pagamento della somma di Parte_1 euro 7.450,00 a titolo di restituzione delle somme sottratte da terzi che, nell'ambito di una truffa perpetuata tramite la tecnica dei c.d. “SMS spoofing”, si erano fraudolentemente sostituiti alla predetta Banca.
Con l'atto di citazione davanti al Tribunale VIRGA – dopo aver investito della questione l'Arbitro
Bancario Finanziario che, ravvisando un concorso di colpa pari al 50%, riconosceva il diritto alla restituzione della metà della somma sottratta di euro 14.900,00 – deduceva la carenza di diligenza qualificata in capo a per non aver quest'ultima messo in atto tutte le misure di Pt_1
sicurezza volte a evitare la consumazione di truffe informatiche. , quindi, chiedeva al CP_1
Tribunale di Genova di «condannare a rifondere integralmente Controparte_3
la somma di Euro 7.450,00 in favore del Sig. ovvero, in subordine, disporre a carico della CP_1
convenuta il rimborso nella misura dei 2/3 o nella diversa e ritenuta misura, stabilita secondo Equità
e Giustizia;
con integrazione rifusione delle spese e onorari di lite, da distrarsi direttamente in favore dei sottoscritti procuratori che si dichiarano antistatari» (cfr. p.c. del 31/01/2024).
Si costituiva in giudizio , che

contro

-deduceva la correttezza e l'accortezza del proprio Pt_1
operato, eccependo la colpa grave di , il quale avrebbe rivelato a terzi le proprie credenziali CP_1
di autenticazione in presenza di chiari segnali di pericolo. La Banca, quindi, chiedeva: «In via principale: rigettare le domande tutte di cui al ricorso avversario, in quanto infondate in fatto e in diritto per tutti i motivi di cui in narrativa;
In via riconvenzionale: per l'effetto, condannare il sig.
2 alla restituzione in favore di dell'importo versato NT Parte_1 in adempimento della decisione ABF pari a € 7.450,00 oltre interessi legali maturati e maturandi dalla domanda al saldo effettivo;
In ogni caso: con vittoria di spese e competenze di lite, oltre accessori come per legge. In via istruttoria: insiste per l'ammissione di Consulenza tecnica d'ufficio ai fini della verifica della rispondenza dei documenti nn. 6 e 10 - nonché di ogni altro documento pe cui tale accertamento si rendesse necessario – alle risultanze dei sistemi gestionali informatici in uso alla Banca» (cfr. p.c. del 7/02/2024).
Il Tribunale, mutato il rito e istruita la causa, così decideva: «Accoglie la domanda proposta da parte attrice in via subordinata e per l'effetto condanna parte convenuta a rimborsare a parte attrice la somma di euro 4.967,00, oltre interessi, nella misura legale, dalla data della domanda. Respinge la domanda riconvenzionale di parte convenuta. Condanna parte convenuta a rifondere alla controparte, e per essa al suo procuratore antistatario, le spese di lite, che si liquidano in euro
2.127,00 per compensi professionali, oltre i.v.a., c.p.a. e 15 % per rimborso forfetario spese generali».
Avverso tale decisione, proponeva appello dinanzi a questa Corte Parte_1
, con atto notificato in data 21/06/2024.
[...]
Si costituiva chiedendo il rigetto dell'appello. NT
Con ordinanza in data 28/01/2025 la Corte fissava udienza per precisazioni delle conclusioni, rassegnate come in epigrafe. Quindi, visto l'art. 350-bis c.p.c., il Collegio rinviava all'udienza del
21/05/2025 per discussione orale, assegnando termine per il deposito di note conclusionali. Le parti depositavano tempestivamente le note. All'esito di tale udienza, la Corte tratteneva la causa in decisione.
MOTIVI DELLA DECISIONE
L'appello è infondato e deve essere respinto.
1) PRIMO MOTIVO – “SULLA RITENUTA RESPONSABILITÀ DELLA BANCA RISPETTO
ALL'OPERAZIONE. ERRONEA INTERPRETAZIONE DI NORME DI DIRITTO”.
L'appellante lamenta l'erronea ripartizione dell'onere della prova laddove il Tribunale, ravvisando la responsabilità della ha affermato che quest'ultima «non ha provato di aver adottato tutti i CP_4
migliori accorgimenti della tecnica volti a scongiurare il rischio di impiego fraudolento degli strumenti di pagamento e del comportamento fraudolento o gravemente colposo dell'utilizzatore, tale da escludere la sua responsabilità» (cfr. pag. 5 della sentenza impugnata). Ad avviso di Pt_1
, «il Giudice di prime cure avrebbe dovuto valutare se l'odierna appellante – nel corso del
[...]
giudizio di primo grado – abbia offerto o meno prova dell'adozione di un sistema di c.d. autenticazione forte “a due fattori”, nonché del dolo o colpa grave del Sig. nell'adempimento CP_1
3 degli obblighi di custodia degli strumenti e delle credenziali necessari per l'utilizzo dei servizi di pagamento, imposti dall'art. 7 del Decreto [legislativo 10/2011]», in forza del quale “

1. L'utente abilitato all'utilizzo di uno strumento di pagamento ha l'obbligo di: a) utilizzare lo strumento di pagamento in conformità con i termini, esplicitati nel contratto quadro, che ne regolano l'emissione
e l'uso e che devono essere obiettivi, non discriminatori e proporzionati;
b) comunicare senza indugio, secondo le modalità previste nel contratto quadro, al prestatore di servizi di pagamento o al soggetto da questo indicato lo smarrimento, il furto, l'appropriazione indebita o l'uso non autorizzato dello strumento non appena ne viene a conoscenza.

2. Ai fini di cui al comma 1, lettera
a), l'utente, non appena riceve uno strumento di pagamento, adotta tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate” (cfr. pag. 18 dell'atto d'appello).
L'appellante, in particolare, si duole del fatto che il Tribunale abbia fondato la dichiarazione di responsabilità della sul presupposto che i truffatori, sfruttando le vulnerabilità dei sistemi di CP_4 sicurezza dell'Istituto di credito, hanno avuto contezza dell'esistenza, presso il medesimo Istituto, di un conto corrente e conto deposito intestato a . Così ragionando, il NT
Giudice di primo grado avrebbe violato l'art. 10 del d.lgs. 10/2011, ai sensi del quale “

1.Qualora
l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento già eseguita
o sostenga che questa non sia stata correttamente eseguita, è onere del prestatore di servizi di pagamento provare che l'operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti.

1-bis. Se l'operazione di pagamento è disposta mediante un prestatore di servizi di disposizione di ordine di pagamento, questi ha l'onere di provare che, nell'ambito delle proprie competenze, l'operazione di pagamento è stata autenticata, correttamente registrata e non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti connessi al servizio di disposizione di ordine di pagamento prestato.

2. Quando l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento eseguita, l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utente medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all'articolo 7. È onere del prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornire la prova della frode, del dolo o della colpa grave dell'utente”.
, richiamando alcuni precedenti su casi analoghi a quello in esame, sostiene che Pt_1 [...]
non abbia offerto elementi sufficienti a provare la precarietà dei sistemi di CP_1
4 sicurezza della Banca, in quanto la circostanza che i truffatori fossero a conoscenza dei dati personali del correntista non basta ex se ad affermare l'esistenza di una falla informatica nei sistemi della Banca. I malfattori, invero, potrebbero aver captato tali informazioni profilando la vittima attraverso tecniche di c.d. “social engineering” oppure sfruttando un baco presente nei dispositivi del cliente e/o del gestore telefonico di quest'ultimo. A sostegno di tale tesi sostiene che «se ad essere stato hackerato fosse stato il sistema della Banca, i truffatori avrebbero potuto ottenere autonomamente le credenziali poi richieste all'ignara vittima» (vd. pag. 20 dell'atto d'appello).
L'appellante, poi, censura l'affermazione secondo cui non ha contestato la Pt_1
ricostruzione dei fatti fornita da , risultando così chiaro che «i terzi ignoti che hanno CP_1
consumato la truffa nei riguardi del erano a perfetta conoscenza del fatto che il ricorrente era CP_1
un cliente di e che era intestatario di un conto deposito e di un conto corrente sul quale Pt_1
operare» (sic, pag. 5 della sentenza impugnata). La Banca confuta tale assunto deducendo che
, in realtà, non ha allegato né provato alcuna circostanza da cui poter ricavare quanto sopra, CP_1
poiché «l'odierno appellato si è limitato a effettuare un generico richiamo alle truffe informatiche di cui la sarebbe stata vittima tra il 2014 e il 2019 (…), peraltro intervenute tre anni prima dei CP_4
fatti di causa» (cfr. pag. 21 dell'atto d'appello).
ING BANK, infine, conclude la doglianza sostenendo che il Tribunale avrebbe dovuto imputare l'omesso impedimento dell'evento esclusivamente a , il quale, con colpa grave, «a) CP_1
ignorava le significative anomalie del messaggio SMS del 29 giugno 2021 ore 12.28, nonché dei successivi SMS (cfr. doc. 1 avv.) caratterizzati da un tono estremamente colloquiale, che non si sarebbe mai potuto verificare con una comunicazione genuina e autenticamente riferibile alla Banca
e ai suoi operatori evidenti errori sintattici, nonché privi di qualsivoglia riferimento agli estremi del
Conto; b) cliccava sul sito aperto con il collegamento indicato nel messaggio sms inserendo “tutti i miei dati, user, password e numero identificativo di sicurezza” (cfr. doc. 2 avv.), in palese violazione degli obblighi previsti dal contratto e dall'art. 7 Decreto;
c) ignorava il ricevimento di n.
4 alert (e-mail e notifiche push) relativi al giroconto e all'Operazione; d) rispondeva a una chiamata telefonica proveniente da un'utenza privata (333/9271279), in alcun modo riferibile all'utenza Part istituzionale della Banca e in cui un sedicente operatore si offriva di aiutarlo a completare le operazioni inerenti il Conto;
e) durante la chiamata con il sedicente operatore ING che, lo si ripete, lo contattava dall'utenza privata di cui al precedente punto d), effettuava “delle operazioni stando all'interno dell'applicativo bancario” e effettuava “il giroconto” (cfr. quanto dichiarato dal CP_1
nella denuncia prodotta sub doc. 2 avv.); f) si risolveva a contattare telefonicamente il Servizio
Clienti di ING alle ore 10.43 del 30 giugno 2021, un giorno dopo aver ricevuto gli alert relativi
5 all'Operazione, quando la stessa non poteva più essere annullata» (così, pagg. 22-23 dell'atto d'appello).
eccepisce l'infondatezza della censura, giacché dalle produzioni NT versate in atti e, addirittura, dalle stesse difese dell'odierna appellante emergerebbe il livello particolarmente sofisticato della truffa: «l'operazione di bonifico, infatti, è avvenuta al di fuori di qualsiasi azione o attività del stesso, mentre l'accesso alla home banking, e le autorizzazioni CP_1
(a seguito di invio di apposito push sul dispositivo ove era installato il token) sono avvenute evidentemente per mezzo di un dispositivo non nella disponibilità del titolare del conto stesso e attraverso codici di “autenticazione forte” non nella disponibilità di parte attrice (…). Si contesta, pertanto che il abbia autorizzato alcuna operazione, tanto meno attraverso il proprio CP_1
dispositivo mobile, unico che avrebbe dovuto essere accreditato sul conto corrente» (così, pagg.

6-7 della comparsa di costituzione e risposta in appello).
Parte appellata, quindi, attraverso il richiamo di vari precedenti sia dell'ABF che della giurisprudenza ordinaria, contesta le deduzioni avversarie in tema di colpa grave, evidenziando come quest'ultima non sia ravvisabile nel caso di specie, dal momento che si trova in colpa grave soltanto colui che abbia percepito «il pericolo di subire una truffa e, malgrado tale pericolo, abbia comunque agito fornendo dati e informazioni utili al truffatore per portare a termine il proprio disegno criminoso» (cfr. pag. 8 della comparsa di risposta).
, poi, resiste alla censura rammentando che spetta al prestatore del servizio e, quindi, alla CP_1
Banca la prova di aver adottato tutti i migliori accorgimenti della tecnica volti a evitare l'impiego fraudolento dei sistemi di pagamento.
Infine, il correntista conclude che, anche qualora si escluda la responsabilità della Banca, il bilanciamento delle rispettive colpe deve essere composto in favore della parte debole del contratto, poiché «la diligenza richiesta al professionista è una diligenza qualificata, superiore a quella che viene richiesta ad una persona comune (c.d. diligenza del buon padre di famiglia), ed è commisurata alla prestazione che lo stesso deve eseguire» (cfr. pag. 10 della comparsa di risposta).
Il motivo è infondato e deve essere respinto.
E' pacifico e non contestato che i c.d. codici di “autenticazione forte” sono stati inviati dalla banca non al dispositivo informatico del cliente, ma all'interno della falsa pagina web, riproducente quella autentica della banca, su cui si è consumata la truffa.
Tale circostanza è prova inconfutabile della poca sicurezza del sistema informatico dell'istituto, anch'esso ingannato, in quanto ha inviato i codici ad un terzo, invece che al cliente.
Tale osservazione è dirimente ed assorbente di tutte le disquisizioni sull'onere probatorio che non è stato assolto dalla banca, nonché della colpa, peraltro riconosciuta come lieve sia dall'arbitro che
6 dal Tribunale, del cliente. Essa non può essere valutata come grave a fronte del più grave inadempimento dell'Istituto che ha consentito l'accesso a dati più che sensibili da parte di un sistema predisposto per “ingannare” i clienti.
Peraltro i c.d. messaggi di allerta sono stati inviati a cose fatte e quindi non elidono la “fragilità” del sistema dell'istituto appellante.
2) SECONDO MOTIVO – “SUL RIGETTO DELLA DOMANDA RICONVENZIONALE
AVANZATA DA ING”.
L'appellante si duole del rigetto della domanda riconvenzionale tesa a ottenere la restituzione della somma di euro 7.450,00 versata in ottemperanza alla decisione dell'Arbitro Bancario Finanziario.
Dopo aver premesso che le decisioni dell'ABF non sono vincolanti, non hanno l'effetto tipico delle sentenze e non impediscono alle parti di adire l'Autorità giudiziaria, la Banca deduce che: i) l'ABF ha valutato in maniera troppo “restrittiva” il concorso di colpa di;
ii) il procedimento CP_1
arbitrale ha riguardato i medesimi fatti oggetto del presente giudizio, «tant'è che la stessa controparte ha prodotto come allegati all'atto introduttivo copia del ricorso, delle controdeduzioni, delle repliche e della Decisione ABF (cfr. docc. 6.01 – 6.04 avv.)»; iii) ha adempiuto Pt_1 alla decisione del collegio arbitrale non perché ha riconosciuto come dovuto l'importo richiesto ma per evitare di incorrere nella sanzione di natura “reputazionale” prevista dall'art. 6, comma 7, della delibera CICR del 29/07/2008 (cfr. pagg. 23 e ss. dell'atto d'appello).
L'appellato non formula specifiche

contro

-deduzione sul punto. Peraltro non ha preso posizione neppure in primo grado e quindi i fatti dedotti dalla parte convenuta in via riconvenzionale, ovvero il pagamento, devono essere ritenuti pacifici.
Risulta quindi che l'attore in primo grado aveva già ottenuto un risarcimento per lo stesso fatto: tale risarcimento aveva ad oggetto la metà del dedotto danno, così come riconosciuto dall'arbitro. Infatti
l'attore con il ricorso ex art. 702 bis c.p.c. ha agito per ottenere il risarcimento dell'intera somma di
€ 14.900: “il sig. agisce nel presente giudizio per ottenere l'integrale rimborso delle somme CP_1
residue pari ad Euro 7.450, ovvero nella diversa somma ritenuto secondo i equità e giustizia per quanto meglio di seguito specificato” ( punto nr. 10, pag. 3 del ricorso ex art. 702 bis c.p.c.).
Il Tribunale ha riconosciuto il concorso di colpa del danneggiato e ha ridotto la misura del risarcimento alla somma complessiva di € 12.417,00 ovvero € 7.450,00= già riconosciuti dall'arbitro in via extra giudiziale ed € 4.967,00= in via giudiziale. Pertanto il risarcimento riconosciuto è inferiore a quello richiesto, atteso il riconosciuto concorso di colpa (lieve) del cliente e l'inadempimento della banca;
non ne è contestata la richiesta per il totale e la pronuncia non ha determinato un indebito arricchimento della parte ricorrente in primo grado, per cui la domanda riconvenzionale della parte appellante deve essere respinta.
7 Le spese seguono la soccombenza e sono poste a carico della parte appellante. Esse sono liquidate secondo i parametri di cui al d.m. 55/2014 e succc. mod. nei valori medi secondo lo scaglione. E precisamene: valore inferiore ad € 5.200,00=

1. Studio controversia: € 536,00=

2. Fase introduttiva: € 536,00=

3.fase istruttoria: € 992,00=

3. Fase decisionale: € 851,00=totale per compensi avvocato:€ 2.915,00=
Si dà atto - ai fini dell'art. 13 comma 1 quater nel DPR 115/2002 (Testo unico in materia di spese di giustizia) che l'appello è stato integralmente rigettato.

P. Q. M.

La Corte di Appello, ogni diversa o contraria domanda, eccezione e deduzione disattesa e reietta, definitivamente pronunciando:
1) rigetta l'appello proposto da , avverso la sentenza n. Parte_1
1590/2024 pronunciata inter partes in data 22/05/2024 dal Tribunale di Genova, in composizione monocratica, confermando integralmente la sentenza appellata;

2) dichiara tenuta e condanna la parte appellante alla rifusione delle spese di lite del presente grado di giudizio in favore della parte appellata , e per essa in favore del difensore che si dichiara antistatario, che liquida in € 2.915,00= per compensi di avvocato, oltre rimborso forfettario, iva e cpa;

3) si dà atto ai fini di cui all'art. 13, comma 1 quater d.P.R. n. 115/ 2002, che l'appello è respinto.
Così deciso in camera di consiglio alli 21/05/2025.
La Presidente
Dott.sa Rosella Silvestri
8