Banca condannata a risarcire un cliente vittima della truffa SIM Swap

L’ABF (ovvero l’Arbitro Bancario e Finanziario presso la Banca d’Italia) ha assunto un’importante decisione a favore di una piccola azienda agricola, il cui titolare è stato truffato mediante la tecnica della SIM swap.

I fatti risalgono all’ottobre 2019, quando il titolare dell’azienda agricola si è accorto che il suo smartphone non lo faceva più accedere a internet e fare chiamate. L’uomo si è pertanto recato in un negozio di telefonia dove, in un primo momento, il problema è stato associato a un malfunzionamento della SIM e gli è stato consigliato di provare a spegnere e riaccendere il telefono.

Persistendo il problema, l’uomo si è ripresentato presso il centro chiedendo la sostituzione della SIM e ha appreso, tramite compagnia telefonica, che il giorno precedente era già stato richiesto ed effettuato un cambio della SIM card collegata al numero di cui era titolare.

Insospettito dall’accaduto, l’imprenditore ha quindi contattato la filiale della sua banca, scoprendo che il giorno stesso in cui si era verificato il malfunzionamento era stato disposto, dal suo conto online, un bonifico istantaneo di 19.963 euro in favore di un soggetto a lui sconosciuto.

Di conseguenza l’uomo ha sporto denuncia contro ignoti per truffa informatica e disconosciuto l’operazione bancaria, con l’Istituto che però si è dichiarato del tutto estraneo all’accaduto, rifiutandogli il rimborso della somma sottratta.

LA TRUFFA SIM SWAP FRAUD

Consiste nella sostituzione, con un documento d’identità contraffatto, della SIM del titolare di un conto corrente bancario.”Questa tecnica - esordisce l’astigiano Stefano Santin della Casa del Consumatore, che ha assistito l’azienda - viene utilizzata dagli autori della truffa per aggirare il sistema di autenticazione con OTP, che consiste generalmente in un codice alfanumerico (generato da un algoritmo) trasmesso all’utente su un canale fuori banda (nella specie, messaggistica SMS), per cui è sempre necessaria, ai fini della sua utilizzazione, una tecnologia supplementare (ITC mobile o token ecc.)”.

“Dall’esperienza acquisita nei casi seguiti in tutta Italia – continua Santin - si è appurato che gli autori della truffa sono in grado di ottenere le credenziali di accesso ai sistemi di home banking, attraverso attività di phishing o acquistandole sul dark web, per poter poi, una volta ottenuta la nuova SIM card, effettuare l’accesso abusivo sul conto corrente”.

In sostanza, ottenuta la sostituzione della SIM mediante la presentazione di un documento contraffatto, i truffatori accedono al conto corrente online della vittima, effettuano l'operazione di bonifico e ricevono il codice SMS di conferma sullo smartphone senza destare alcun sospetto.

LA RESPONSABILITA’ DELLA BANCA

“Qualcuno potrebbe pensare – aggiunge Santin – perché c’è una responsabilità della banca in una truffa sulla SIM? Semplicemente perché la sottrazione dell’identità telefonica è in grado di superare il sistema di autenticazione multifattoriale (due codici), pur in astratto predisposto dalla banca, essendo l’utenza telefonica il naturale sito di ricezione del codice. Si ritiene, quindi, che nei casi di SIM Swap Fraud la sostituzione della SIM card vada equiparata alla mancanza di autenticazione dell’operazione di pagamento e pertanto la banca deve risarcire il malcapitato”.

"In fin dei conti - conclude il presidente della Casa del Consumatore Piemonte - la banca ha scelto il sistema di SMS per inviare sia i codici di accesso al conto corrente sia per autorizzare le operazioni. Se il sistema fa acqua, quindi, chi l’ha scelto sulla testa dei correntisti deve pagare”.