Banca - responsabilità per hackeraggio del sistema e-banking

Incarto n.

12.2022.106

Lugano

25 novembre 2022/bs

In nome

della Repubblica e Cantone

Ticino

La seconda Camera civile del Tribunale d'appello

composta dei giudici:

Fiscalini,

presidente,

Stefani

e Grisanti

vicecancelliere:

Bettelini

sedente

per statuire nella causa – inc. n. OR.2019.8 della Pretura della giurisdizione

di Locarno-Città – promossa con petizione 20 maggio 2019 da

AP

1

patrocinata dall' PA 1

contro

AO

1

patrocinata dall' PA 2

con cui l'attrice ha

chiesto la condanna della convenuta al pagamento di fr. 113'224.15 oltre

interessi del 5% dal 6 settembre 2016, protestate tasse, spese e ripetibili;

domanda avversata dalla

convenuta e che il Pretore ha respinto con decisione 28 giugno 2022, ponendo le

spese processuali di complessivi fr. 6'500.- (compresi fr. 800.- della

procedura di conciliazione) a carico dell'attrice, tenuta a rifondere alla controparte

fr. 10'190.- per ripetibili;

appellante l'attrice

con atto di appello 24 agosto 2022, con cui chiede la riforma del giudizio

impugnato nel senso di accogliere la petizione con protesta di spese e

ripetibili di primo e secondo grado;

mentre la convenuta, con

risposta 3 ottobre 2022, postula il rigetto dell'appello, pure con protesta di

spese e ripetibili di secondo grado;

letti ed esaminati gli atti

e i documenti prodotti;

ritenuto

in fatto:

Fatti

A. La AP 1 è un'agenzia

di lavoro interinale che si occupa in particolare del reclutamento e del

piazzamento del personale stabile come pure della messa a disposizione di

personale temporaneo. Nel gennaio 2014 C__________ L__________, all'epoca

amministratore unico della società (fino all'agosto 2020, quando in seguito

all'entrata di M__________ P__________ __________ è diventato presidente del

consiglio di amministrazione), ha aperto per quest'ultima la relazione bancaria

n. __________01 presso l'allora AO 1 (succursale di Locarno). Il 14 febbraio

2014 la AP 1 ha sottoscritto una "Convenzione relativa all'E-Banking della

AO 1" che consentiva l'utilizzo dell'e-banking della banca mediante

l'immissione di una password e di un codice supplementare (codice

matrice), valido per un solo accesso, che figurava su un supporto cartaceo

consegnato separatamente. Le modalità d'uso erano regolate dalle

"Condizioni per l'utilizzo dell'E-Banking della AP 1" le quali

stabilivano fra l'altro all'art. 3.4 che “il cliente si assume tutti i

rischi derivanti dall’utilizzo - e dall’abuso - dei propri dati di

identificazione o di quelli degli utenti autorizzati, salvo che la banca non

commetta colpe gravi. Egli risponde altresì dei danni causati dall’utilizzo

abusivo esercitato dai propri utenti autorizzati nei confronti dei dati di

identificazione di altri utenti autorizzati” (plico doc. B).

B. Lunedì 5 settembre

2016 C__________ L__________ si è collegato – come era solito fare – al sistema

e-banking della AP 1. Eseguito un primo accesso dalle 8:43 (login)

alle 8:54 (logout), egli ha tentato di collegarsi altre cinque volte tra

le 11:47 e le 11:52 senza successo, prima di riuscirci alle 11.56 (logout

alle 11.59; doc. 7). L'interessato ha effettuato un terzo accesso alle 14:18

con logout alle 14:22. Nel frattempo, a sua insaputa, dei pirati

informatici sono riusciti a inserirsi nell'e-banking della AP 1 usando i

dati d'identificazione della AP 1, una prima volta dalle 14:13 (login)

alle 14:18 (logout) e una seconda volta dalle 14:23 (login) alle

15:56 (logout; doc. 7 e 8). Nella prima occasione, alle 14:15 è stato

disposto un ordine di pagamento di € 74'300.- a debito della relazione bancaria

della AP 1 e in favore di una relazione bancaria in Lituania (doc. 7). Durante

il secondo attacco, tra le 14:28 e le 14:32 quest'ordine è stato modificato in

uno di fr. 113'200.15 in favore di un conto intestato alla R__________ T__________

__________ di Istanbul presso la banca Turkiye Garanti Bankasi A.S sempre a

Istanbul (doc. 7). Alle 16:06 e alle 16:53 C__________ L__________ ha di nuovo

cercato di accedere all'e-banking senza però riuscirvi (doc. 8).

C. Giunto in ufficio il

mattino seguente (6 settembre 2016) intorno alle 08.00, C__________ L__________,

non riuscendo a collegarsi dalla propria postazione, ha eseguito l'accesso e-banking

dal computer di un collega. Notato l'addebito di fr. 113'200.15 in favore della

R__________ T__________ __________ di Istanbul, egli ha chiamato il

collaboratore della AP 1 G__________ M__________ informandolo del presunto

hackeraggio. Sull'esatta tempistica della chiamata le versioni delle parti

divergono. Per la AP 1 la telefonata sarebbe avvenuta immediatamente, fra le

8:00 e le 8:30. Stando alla AP 1 la chiamata sarebbe giunta invece solo verso

le 9:15. Sta di fatto che il conto della cliente è stato addebitato per

l'importo di fr. 113'200.- quello stesso giorno alle 8:15 (trattandosi di un

ordine impartito il giorno prima dopo le 13:00). Orario in cui la AP 1 ha

rilasciato l'ordine SWIFT all' U___SA che fungeva da banca di appoggio

nell'esecuzione dei pagamenti all'estero. L' U___SA ha ricevuto l'ordine alle

8:33:59 e alle 8:34:00 ha trasferito l'importo in questione alla banca turca

del beneficiario (doc. 10). Alle 9:46 il responsabile compliance AML della AP 1

(J__________ M__________ __________) è intervenuto con una e-mail presso

il suo servizio interno Support payments affinché recuperasse

urgentemente il pagamento (doc. 6). Alle 11:11 la AP 1 ha chiesto all' U___SA

di cancellare la transazione siccome riconducibile a una possibile frode (doc.

10). L'8 settembre 2016 l' U___SA ha risposto alla AO 1 che il beneficiario del

pagamento si rifiutava di restituire l'importo reputandolo giustificato (doc.

10).

D. Avendo richiesto

invano alla AO 1 (nel frattempo divenuta AO 1) la restituzione dell'importo

trasferito e ottenuta l'autorizzazione ad agire (inc. CM.2019.14), con

petizione 20 maggio 2019 la AP 1 ha convenuto quest'ultima dinanzi alla Pretura

della giurisdizione di Locarno-Città postulandone la condanna al pagamento di fr.

113'224.15 oltre interessi del 5% dal 6 settembre 2016. In sintesi, per

l'attrice l'hackeraggio avrebbe colpito il sistema informatico della banca che

doveva così rispondere del danno. A parte ciò, siccome l'operazione contestata

era manifestamente inusuale (per importo e destinazione), la convenuta avrebbe

dovuto compiere delle verifiche che invece non ha fatto. Senza contare che,

dopo essere stata avvisata, la banca sarebbe ancora stata in grado di bloccare

l'operazione.

E. Con risposta 23

settembre 2019 la convenuta si è opposta alla petizione proponendone

l'integrale reiezione. Rilevando che l'attacco aveva in realtà colpito il

sistema informatico dell'attrice, la AO 1 ha contestato che la natura

fraudolenta della transazione fosse immediatamente ravvisabile e che le

incombesse quindi un obbligo di verifica supplementare così come che essa

avesse ancora la possibilità di bloccare (l'indomani) l'operazione.

F. Con replica 14

novembre 2019 e duplica 29 gennaio 2020 le parti hanno ulteriormente

sostanziato le proprie antitetiche posizioni.

G. Esperita

l'istruttoria e raccolti gli allegati conclusivi, con sentenza 28 giugno 2022

il Pretore ha respinto la petizione e posto le spese processuali di fr. 5'700.-

più fr. 800.- della procedura di conciliazione a carico dell'attrice, tenuta a

rifondere alla controparte fr. 10'190.- per ripetibili.

H. Contro

la sentenza appena citata la AP 1 è insorta a questa Camera con un

appello del 24 agosto 2022 per ottenere la riforma del giudizio impugnato nel

senso di accogliere la petizione, con protesta di spese e

ripetibili di entrambe le sedi. Con risposta del 3 ottobre 2022 la

convenuta propone di respingere l'appello pure con protesta di spese e

ripetibili di secondo grado.

Considerando

Considerandi

in diritto:

1.

L’art.

308.

cpv. 1 lett. a CPC prevede che sono impugnabili mediante appello le

decisioni finali di prima istanza, posto che in caso di controversie

patrimoniali il valore litigioso secondo l'ultima conclusione riconosciuta

nella decisione sia di almeno

fr. 10'000.- (cpv. 2). In

concreto, la decisione impugnata è una decisione finale in una controversia dal

valore superiore ai

fr. 10'000.-. Pacifica è

dunque l’appellabilità del giudizio impugnato entro il termine di 30 giorni

(art. 311 CPC). Introdotto il 24 agosto 2022 contro la decisione impugnata

(notificata il 30 giugno 2022) l'appello è cosi tempestivo in virtù dell'art.

145.

cpv. 1 lett. b CPC. Come è tempestiva (in virtù dell'art. 142 cpv. 3 CPC)

la relativa risposta del 3 ottobre 2022 (art. 312 CPC).

2.

Nella decisione

impugnata il Pretore, accertato che le parti erano legate da un contratto di

conto corrente e da un contratto di giro bancario, ha ricordato che in

relazione agli averi depositati sul conto il cliente dispone, di principio, di

un'azione in esecuzione del contratto (Erfüllungsklage). Il denaro

depositato è proprietà della banca, nei confronti della quale il cliente vanta

un credito. Se quindi la banca agisce in esecuzione di un ordine del cliente (o

di un suo rappresentante), essa acquisisce una pretesa di rimborso spese per la

regolare esecuzione del mandato (art. 402 CO). Per converso, ove esegua le

istruzioni di un terzo non autorizzato o un bonifico sulla base di un ordine

falso, la banca agisce senza mandato (Putativauftrag) e non ha diritto

al rimborso. Applicandosi i principi generali del contratto di mandato la banca

sopporta dunque a priori il rischio di pagamento a un terzo non autorizzato,

l'assenza di legittimazione e le falsificazioni non individuate rientrando nei

cosiddetti "rischi inerenti" dell'attività bancaria, al pari

dell'insolvenza del cliente. Ciò significa – ha precisato il primo giudice –

che se la banca paga a un soggetto non autorizzato o esegue un bonifico sulla

scorta di un ordine falso, essa non si libera dai suoi obblighi nei confronti

del cliente, verso il quale rimane debitrice dell'importo trasferito. Il danno

economico derivante da un siffatto pagamento indebito è così un danno della

banca e non del cliente, a prescindere da una colpa della banca. La regolamentazione

testé citata avendo carattere dispositivo, le condizioni generali delle banche possono

prevedere delle "clausole di trasferimento dei rischi" che

trasferiscono sul cliente il danno della banca in caso di esecuzione irregolare

(compreso l'accesso indebito all'e-banking), sempre che a essa non sia

imputabile una colpa grave o – se lo prevede espressamente il contratto – una

lesione del dovere di diligenza (loc. cit., pag. 5 a 7).

Ciò posto, il Pretore,

riepilogata la recente giurisprudenza in materia (DTF 146 III 326), ha rilevato

anzitutto che l'operazione eseguita dalla convenuta su ordine di terzi non

autorizzati si fondava su un Putativauftrag, di modo che la banca

sopportava di per sé il rischio legato all'esecuzione dell'ordine. Il primo

giudice ha constatato tuttavia che le condizioni generali per l'utilizzo dell'e-banking

della convenuta prevedevano all'art. 3.4 una clausola che trasferiva sul

cliente quel rischio. Egli ha ravvisato così una valida deroga convenzionale

che ribaltava sull'attrice il danno derivante da un'esecuzione senza mandato. E

in mancanza di prova contraria, che incombeva all'attrice recare (per esempio

mediante una perizia), o di problematiche nel sistema e-banking della

banca che non sono emerse dalla documentazione prodotta in edizione dalla

convenuta, il Pretore, considerato anche il tenore dell'art. 8.1 delle note

condizioni generali con cui “l’utente prende atto che nella fattispecie il

proprio computer costituisce l’anello debole per l’accesso all’E-Banking via

Internet”, è partito dal presupposto che l'atto di pirateria informatica

era avvenuto nella sfera d'influenza dell'attrice, rispettivamente fuori dalla

sfera d'influenza della banca (loc. cit., pag. 7 a 10).

Il Pretore ha esaminato

dipoi se alla banca fosse ascrivibile una colpa grave che rendeva inapplicabile

la clausola di trasferimento dei rischi figurante all'art. 3.4 delle condizioni

generali. Appurato che l'accesso alla piattaforma e-banking era avvenuto

secondo le modalità pattuite (immissione di una password e del codice

matrice), egli non ha riscontrato, sotto questo profilo, colpe gravi della

banca. Quanto all'inusualità dell'ordine impartito, non risultava dagli atti –

contrariamente a quanto pretendeva l'attrice – che le parti avessero concordato

un'autorizzazione all'esecuzione di soli ordini di pagamento per salari, tant'è

che nell'estratto conto figuravano anche altri bonifici senza specifica di

sorta. Certo, la transazione litigiosa poteva dirsi inusuale per rapporto

all'entità e alla destinazione "esotica" del pagamento allorché gli

ordini di bonifico erano altrimenti limitati di norma alla Svizzera. Ciò

nondimeno, per il Pretore non vi erano gli estremi per ravvisare una colpa

della banca nel dare seguito all'ordine. Premesso che gli ordini trasmessi

tramite e-banking sono eseguiti in forma automatizzata e senza

interazioni tra ordinante e banca, il primo giudice ha evidenziato che la

convenuta all'epoca dei fatti non disponeva di un sistema in grado di

individuare e segnalare operazioni potenzialmente inusuali. Di conseguenza,

neppure sotto questo aspetto era ravvisabile una colpa grave della banca. Né

una grave mancanza della convenuta poteva desumersi dalle difficoltà di accesso

all'e-banking del 5 settembre 2016, visto che tali problemi erano emersi

alla banca soltanto successivamente e che C__________ L__________ non aveva

segnalato, chiamando ad esempio l'hotline della banca, criticità alla

convenuta. Applicandosi la clausola di trasferimento dei rischi, la petizione

andava dunque respinta (loc. cit., pag. 10 a 14).

3.

L'appellante

ripropone l'argomento per cui la banca avrebbe fra l'altro violato l'obbligo di

diligenza per non avere bloccato per tempo, il 6 settembre 2016, l'esecuzione

del pagamento contestato pur avendone la possibilità (memoriale, pag. 18

segg.). Il Pretore non si è chinato sulla questione ma si è limitato a rilevare

che le versioni delle parti divergevano: mentre per l'attrice il proprio

amministratore unico avrebbe immediatamente informato la convenuta, per

quest'ultima la comunicazione sarebbe avvenuta soltanto verso le 9:15 (sentenza

impugnata, Lett. E, pag. 3). Ora, su questo aspetto entrambe le parti si sono

già espresse in prima (v. petizione, pag. 6; risposta, pag. 10) come in seconda

sede. Nulla osta pertanto al suo esame in appello tanto più che il giudizio è

maturo e nessuno postula un rinvio al Pretore per nuovo accertamento. Per

economia processuale conviene trattare prioritariamente tale questione poiché

se dovesse risultare che la convenuta aveva ancora la possibilità di bloccare

l'operazione ciò renderebbe superfluo l'esame degli altri argomenti.

3.1

Per l'attrice

l'istruttoria avrebbe dimostrato che la chiamata di C__________ L__________ è

avvenuta tra le 8:00 e le 8:30, come ha avuto modo di confermare la teste S__________

K__________, sua responsabile amministrativa nel verbale del 6 maggio 2021

(pag. 2). Tale affermazione non sarebbe stata rimessa in discussione dal teste

G__________ M__________, consulente della convenuta, il quale ha indicato di

non ricordare l'orario preciso della telefonata, pur stimandola in 15-30 minuti

dopo che aveva ripreso a lavorare, ovvero intorno alle 9:00 (verbale 3 marzo

2021, pag. 3). Per l'appellante sarebbe inoltre significativo che, malgrado una

specifica richiesta di edizione dei rapporti allestiti in merito ai contatti

telefonici intercorsi, la convenuta non abbia prodotto nulla, il che – dato il

contenzioso in corso – costituisce a suo avviso una "lacuna molto

anomala", tanto più che la banca è tenuta a conservare ogni rapporto sui

contatti con il cliente e che il teste G__________ M__________ non ha fornito

spiegazioni per tale omissione. Dovendosi dunque dipartire da quanto dichiarato

dalla teste S__________ K__________, la convenuta avrebbe avuto la concreta

possibilità di bloccare immediatamente l'ordine al momento (tra le 8:00 e le

8:30) in cui C__________ L__________ ha telefonato, l'invio dell'ordine all' U___SA

essendo avvenuto alle 8:15:20, l'accettazione da parte della medesima alle

8:33:59 e la sua trasmissione dall' U___SA alla banca turca alle 8:34:00. Senza

contare che la convenuta, impartendo all' U___SA l'ordine di cancellazione

soltanto alle 12:00:23, avrebbe commesso un'ulteriore negligenza (memoriale,

pag. 18 a 21).

3.2

Dal canto suo la

convenuta obietta che la dichiarazione di S__________ K__________ è smentita

dalla deposizione di G__________ M__________ oltre che da quanto rapportato

internamente poco dopo i fatti (doc. 5 e doc. 10) e che riconduce alle 9:15

l'orario del contatto. A parte ciò, essa non comprende perché la controparte,

contravvenendo all'onere probatorio che le incombeva, abbia omesso di richiedere

al proprio operatore i tabulati telefonici che avrebbero potuto confermare la

sua tesi. Comunque sia, anche seguendo per ipotesi la versione della teste S__________

K__________, ciò non muta che tra le 8:15:20 e le 8:34:00 qualsiasi reazione

teoricamente ipotizzabile sarebbe stata inutile poiché non c'era più il tempo

necessario per effettuare le comunicazioni tra i vari servizi interni ed

esterni interessati e per impedire il trasferimento definitivo dei fondi

(risposta, pag. 13 seg.).

3.3

Contrariamente

all'opinione dell'appellante, la deposizione di S__________ K__________ non è

risolutiva. Oltre a ricondurre la telefonata entro un arco temporale di

mezz'ora, la teste non si è detta certa della sua affermazione, avendola

preceduta dalla premessa "se non sbaglio" (verbale 6 maggio 2021,

pag. 2). A parte ciò, la teste ha riferito che quella mattina C__________ L__________

aveva eseguito l'accesso tramite il suo (di lui) personal computer (loc. cit.,

pag. 3), allorché il primo giudice ha accertato invece – senza contestazione al

riguardo e sulla scorta di quanto emerso dall'ordine di perquisizione e

sequestro 28 settembre 2016 del Ministero pubblico (doc. 4) – che tale

collegamento era avvenuto tramite il computer di un collega (sentenza impugnata,

lett. E). Ciò posto, l'orario – approssimativo – della telefonata non può

ricavarsi con certezza dalla testimonianza di S__________ K__________. Come

esso non può evincersi del resto – a dispetto di quanto sostiene la convenuta –

dalla deposizione del suo consulente G__________ M__________ che ha proceduto a

una stima, dopo avere premesso di non ricordarlo con precisione (verbale 3

marzo 2021, pag. 3), né dalla lettera 14 settembre 2016 del suo servizio

giuridico e compliance (assimilabile a una dichiarazione di parte) né tanto

meno dal riscontro che l'attrice si è collegata quel 6 settembre 2016 al

sistema e-banking alle 9:30, trattandosi dell'ultimo accesso di

quel giorno (doc. 10, foglio 8).

3.4

Quanto alla mancata

produzione dei rapporti telefonici, malgrado una specifica richiesta di

edizione dalla banca, si può convenire con l'attrice che la circostanza desta

perplessità. Sta di fatto che l'orario della chiamata poteva essere dimostrato

agevolmente anche senza l'intervento della controparte ove solo l'interessata

si fosse premurata di richiedere per tempo i tabulati presso il proprio

operatore telefonico, come ha eccepito – senza essere mai stata contraddetta al

riguardo – già in prima sede la convenuta (duplica, pag. 4 e pag. 13;

conclusioni, pag. 3 e pag. 12). Dall'inesistenza dei rapporti telefonici

relativi ai contatti intercorsi fra la banca e la AP 1 il 6 settembre 2016 non

può quindi desumersi – ciò che non pretende del resto neppure l'appellante – da

sé sola la prova del fatto che l'attrice intendeva recare con quel mezzo di

prova. Al riguardo non giova dilungarsi.

3.5

Ma quand'anche si

volesse – per abbondanza – considerare la testimonianza di S__________ K__________,

essa non dimostrerebbe ancora che la convenuta abbia avuto il tempo materiale

per bloccare il pagamento. La teste ha dichiarato che C__________ L__________

ha chiamato la banca non appena si è avveduto dell'addebito. Se non che questo

è intervenuto alle 8:15. L'attrice aveva così a disposizione un arco di tempo

(assai) ristretto per chiamare la propria banca (nel caso specifico il proprio

consulente G__________ M__________: doc. 7) e spiegare il problema, e per

ottenere che i servizi competenti della convenuta (in concreto il responsabile

compliance ALM, J__________ M__________ __________: doc. 6) intervenissero

presso l' U___SA per impedire la transazione. Che ciò fosse materialmente

possibile non è affatto provato (almeno secondo il grado della verosimiglianza

preponderante), sicché l'attrice – che non contesta l'iter procedurale seguito

dalla banca ma solo i tempi di reazione della stessa– sopporterebbe anche in

siffatta ipotesi le conseguenze dell'assenza di prova. Poco importa invece,

sotto questo profilo, che l'ordine di cancellazione della convenuta all' U___SA

sia avvenuto soltanto alle 12:00 (doc. 7, pag. 1), tale circostanza essendo

senza rilievo per stabilire se, agendo con tutta la diligenza e celerità

possibile, la convenuta avrebbe potuto fermare in tempo l'operazione.

4.

Non potendosi

dimostrare che la convenuta avrebbe potuto ancora bloccare l'operazione quel 6

settembre 2016, occorre stabilire chi, fra la banca e il cliente, si debba

assumere le conseguenze del contestato bonifico di fr. 113'200.15. Secondo la

più recente giurisprudenza in materia, se un attore allega che la banca ha

eseguito dei versamenti o dei bonifici nonostante la mancanza di legittimazione

dell'ordinante o in seguito a falsi non rilevati, il giudice esamina chi, tra

la banca o il cliente, sopporta il danno che ne deriva, procedendo in tre

tappe. In una prima tappa, chinandosi sull'azione principale del cliente in

restituzione dei suoi averi non decurtati dei prelievi indebiti (Erfüllungsklage;

art. 107 cpv. 1 CO) il giudice deve esaminare se i prelievi sono stati eseguiti

su mandato o senza mandato del cliente. Soltanto in quest'ultima ipotesi il

giudice deve vagliare, in una seconda tappa, se il danno vada a carico della

banca (sistema legale, trattandosi di un rischio inerente all'attività

bancaria) oppure se in ragione di una clausola di trasferimento del rischio il

danno vada addebitato al cliente. Se il danno è subito dalla banca

conformemente al sistema legale, il giudice può ancora essere chiamato a

esaminare, in una terza tappa, se essa può opporre in compensazione all'azione

in restituzione del suo cliente una pretesa di risarcimento danni per avere

costui contribuito colposamente a causare o aggravare il danno violando i

propri obblighi (art. 97 cpv. 1 CO; DTF 146 III 387 consid. 3.1, 326 consid.

4). Se invece le parti hanno concordato una clausola di trasferimento del

rischio non v'è spazio per la terza fase. L'eventuale colpa concomitante del

cliente (quale fattore d'interruzione del nesso di causalità adeguata o di

riduzione dell'indennità spettantegli) andrà vagliata nell'ambito dell'esame

della colpa grave della banca che – come si vedrà in appresso (consid. 6) –

rimane riservata (art. 100 cpv. 1 CO per analogia; DTF 146 III 326 consid.

4.2).

5.

Per quel che è della

prima fase, il Pretore ha accertato che il bonifico di fr. 113'200.15 è

avvenuto su ordine di terzi non autorizzati dal cliente. La questione è

pacifica e non necessita di ulteriori approfondimenti.

6.

Passando alla

seconda fase, occorre esaminare anzitutto la validità della clausola di

trasferimento del rischio conclusa dalle parti, interrogandosi in particolare

se la banca abbia commesso una colpa grave nell'esecuzione degli ordini di

bonifico fraudolenti. Generalmente una siffatta clausola determina che il

rischio altrimenti sopportato dalla banca sia ribaltato sul cliente (Schadensabwälzung)

e istituisce una responsabilità di quest'ultimo verso la banca che si estende

anche ai casi fortuiti (Zufallshaftung). La validità di una simile

clausola va esaminata in applicazione analogica degli art. 100 e 101 cpv. 3 CO

che reggono i patti di esclusione della responsabilità in caso di inadempimento

o adempimento imperfetto del contratto quantunque la clausola di trasferimento

del rischio non risulti da un inadempimento contrattuale nel senso dell'art. 97

segg. CO (DTF 146 III 326 consid. 6.1 con rinvii).

6.1

In una prima censura

l'appellante ribadisce che la clausola di trasferimento del rischio, sancita

all'art. 3.4 delle condizioni generali per l'utilizzo dell'E-Banking

della AP 1 (sopra, Lett. A), non si applica in concreto poiché essa vale

unicamente nel caso di utilizzo/abuso dei propri dati di identificazione

o di quelli degli utenti autorizzati, il che presuppone che l'attacco

informatico abbia colpito il proprio sistema informatico. Al proposito

l'attrice contesta la valutazione del Pretore secondo cui spettava a lei

dimostrare che l'attacco informatico avesse colpito la piattaforma e-banking

della banca. Dal momento che era la banca a invocare la clausola di

trasferimento del rischio, a suo avviso incombeva a quest'ultima dimostrare che

si realizzavano le condizioni per l'applicazione della clausola. E in mancanza

di specifici accertamenti riguardo alla sfera d'influenza colpita, il primo

giudice non poteva concludere in suo sfavore, tanto più che l'istruttoria

avrebbe dimostrato che i propri sistemi informatici erano adeguatamente

protetti. L'istruttoria non avrebbe inoltre dimostrato che sarebbero stati

carpiti i dati di identificazione dei propri computer o i codici matrice in

possesso di C__________ L__________, i tentativi falliti di accesso del 5

settembre 2016 essendo irrilevanti ai fini di tale questione. Non applicandosi

la clausola di trasferimento del rischio, l'appello andrebbe dunque accolto già

solo per questo motivo (memoriale, pag. 5 a 9, n. 6).

6.1.1

L'appellante perde di

vista tuttavia che il Pretore non si è limitato a evidenziare che spettava a

lei dimostrare la circostanza – da essa addotta – che l'attacco informatico

aveva colpito la piattaforma e-banking della banca e non (solo) il

proprio sistema informatico. Il primo giudice ha anche precisato che dalla

documentazione prodotta dalla convenuta, segnatamente da quella chiesta in

edizione "intesa a dimostrare le problematiche avute dal sistema e-banking

della banca convenuta" non era emerso nulla e non era quindi dimostrato

che l'hackeraggio fosse avvenuto nella sfera di competenza della banca. Tale

constatazione, unitamente al tenore dell'art. 8.1 delle note condizioni

generali con cui il cliente dava atto che il suo computer rappresentava

l'anello debole della sicurezza dell'accesso via e-banking, avevano

indotto il Pretore a concludere che l'attacco informatico alla base dell'ordine

di bonifico fraudolento doveva essere avvenuto nella sfera di influenza

dell'attrice ma comunque al di fuori della sfera di influenza della banca

(sentenza impugnata, pag. 10). Ora, con questa doppia argomentazione

l'appellante non si confronta nemmeno di scorcio, sicché al riguardo l'appello

si rivela finanche irricevibile per carenza di motivazione (nel senso dell'art.

311.

cpv. 1 CPC). Ciò posto, la conclusione del primo giudice, stando al quale

l'hackeraggio dev'essere avvenuto al di fuori della sfera d'influenza della

convenuta, sfugge alla critica.

6.1.2

A parte ciò – come

eccepisce la convenuta (risposta: pag. 6 a 8) – una serie di indizi (il

concatenamento temporale tra gli accessi, riusciti e falliti, di C__________ L__________

e quelli degli hackers il 5 settembre 2016 [sopra, lett. B] cui era

associato per altro lo stesso numero di contratto e di Login Name [doc. 8 e

doc. D]; la motivazione dell'ordine di perquisizione e sequestro 28 settembre

2016, da cui si evince che ignoti sarebbero "riusciti ad impossessarsi

illecitamente dei dati della denunciante per l'accesso al sistema bancario

e-banking di AP 1" [doc. 4]; le difficoltà di accesso incontrate da C__________

L__________ il 6 settembre 2016 dalla propria postazione ma non da quella di un

collega [doc. 4]) induce effettivamente a ritenere che l'attacco informatico

sia avvenuto nella sfera d'influenza dell'attrice, la quale, in virtù della

ricordata giurisprudenza, sarebbe comunque sia chiamata a rispondere anche dei

casi fortuiti, ovvero degli eventi e dei comportamenti non imputabili alle

parti al contratto (analogamente: DTF 146 III 326 consid. 6.2.1.2, 6.3.2.1 in

fine e 6.3.2.3 in fine). Nulla muta al riguardo che l'attrice fosse protetta da

un pacchetto (standard) antivirus/firewall/antispyware aggiornato anche perché,

per quanto riferito dallo stesso responsabile esterno della sicurezza

informatica dell'attrice (G__________ B__________), pur non essendo stata

riscontrata alcuna anomalia, neppure i sistemi più performanti e aggiornati

danno garanzia totale (verbale 6 maggio 2021 pag. 5).

6.2

Dovendosi di

conseguenza applicare la clausola di trasferimento del rischio di cui all'art.

3.4

delle condizioni generali (di analogo tenore, come osserva la convenuta a

pag. 13 della sua risposta, pure il loro art. 2.6 secondo cui "il

cliente riconosce, senza riserve, tutte le transazioni contabilizzate, eseguite

tramite E-Banking nell'ambito dei servizi concordati e dietro utilizzo dei dati

di identificazione del cliente stesso. Sono ugualmente considerati come

predisposti o autorizzati dal cliente tutte le istruzioni, gli ordini o le

comunicazioni che giungono alla banca in questa modalità […]: doc. D),

rimane da esaminare se alla banca – sempre in virtù di quella medesima clausola

– fosse ascrivibile una colpa grave suscettibile di invalidarne gli effetti,

come pretende l'appellante (memoriale, pag. 9 segg.).

6.2.1

Costituisce colpa grave

la violazione delle elementari regole di prudenza che si imporrebbero a qualsiasi

persona ragionevole posta nelle medesime circostanze (DTF 146 III 326 consid.

6.2

con rinvii). Agisce invece per colpa lieve colui che non adotta tutta la cautela

che ci si poteva attendere da lui senza raggiungere tuttavia tale intensità. Il

giudice valuta le azioni dell'autore negligente riferendosi alla diligenza che

l'altra parte poteva attendersi da lui, segnatamente in virtù degli accordi

contrattuali e degli usi professionali. L'onere della prova della negligenza

grave della banca grava sul cliente (loc. cit.). Per quanto concerne

l’autenticità degli ordini, in linea di principio la banca è tenuta a verificare

solo che essi siano conformi alle modalità concordate tra le parti o, se del

caso, specificate dalla legge (loc. cit. consid. 6.2.1).

In materia di verifica

delle firme, il Tribunale federale ha già avuto modo di precisare che la

banca non deve prendere misure straordinarie incompatibili con una liquidazione

rapida delle operazioni e non deve presumere sistematicamente l'esistenza di

frodi, dovendo per contro procedere a verifiche supplementari in presenza di

indizi seri di falsificazione, se l'ordine non verte su un'operazione prevista

contrattualmente né usualmente domandata o ancora se circostanze particolari

destano dubbi (loc. cit. consid. 6.2.1.1).

In relazione all'uso

concordato della posta elettronica per la trasmissione degli ordini,

l'Alta Corte ha inoltre avuto modo di stabilire che la banca non è obbligata ad

adottare misure straordinarie per l’esame della loro autenticità che siano

incompatibili con un’evasione rapida delle operazioni, ritenuto che se

provengono dall’indirizzo e-mail comunicatole dal cliente essa non deve

presumere sistematicamente che tali ordini non siano stati impartiti da lui ma

siano il frutto di atti di pirateria informatica (loc. cit., consid. 6.2.1.2).

Per tali situazioni il Tribunale federale ha precisato che la banca commette

una colpa grave solo se dall’esame a cui essa procede, necessariamente rapido

per il tipo di transazioni che è chiamata a effettuare, sorgono seri indizi di

usurpazione d'indirizzo e quindi d'identità. Ciò è il caso se deve "balzare

all'occhio" a qualsiasi persona ragionevole che l'ordine trasmesso, in

virtù del suo indirizzo, testo, contenuto o luogo esotico del bonifico, e

tenuto conto della situazione del cliente, non può provenire da quest'ultimo.

Per esempio, una colpa grave della banca è stata ammessa nel caso in cui l’account

di posta elettronica di un cliente (un avvocato di lingua inglese che si era

sempre espresso con un linguaggio accurato) era stato hackerato da sconosciuti che

avevano, a sua insaputa, inviato e-mail dall'indirizzo di costui e intercettato

quelle inviategli dalla banca, impartendo ordini di bonifico per importi

ingenti (l'uno dei quali aveva intaccato il conto per più di un quarto), scritti

in un inglese sgrammaticato e approssimativo e in favore di relazioni bancarie

a Hong Kong e Singapore, allorché era noto alla banca che il cliente, con cui

era in relazione da 20 anni, aveva costantemente incrementato le sue posizioni nell'ottica

di una conservazione a lungo termine (loc. cit. con riferimento a STF 4A_386/2016

del 5 dicembre 2016, consid. 2.3 e 2.4).

6.2.2

Trattandosi invece

degli ordini di pagamento tramite e-banking non consta – per quanto è

dato di vedere – che la giurisprudenza abbia elaborato regole specifiche. Tale

metodo di pagamento si caratterizza per le modalità operative, ovvero per il

fatto che il sistema informatico del cliente comunica attraverso l'internet con

il sistema informatico della banca. Nell'online banking il cliente

interviene sul sistema registrando l'ordine di pagamento. Il resto della

procedura è automatizzato e si interfacciano esclusivamente macchine con

macchine, fermo restando che il sistema informatico del cliente è spesso

l'anello debole della catena (Reichart,

Betrugsversuche im Zahlungsverkehr im digitalen Zeitalter in: SZW 2019 pag.

401). In tale ambito è reputata agire negligentemente la banca che utilizza un

sistema che non è più impiegato dalla maggior parte degli altri istituti e che

non raggiunge gli standard di sicurezza dei sistemi più moderni. In altri

termini, le misure di sicurezza devono corrispondere allo stato dell'arte, la

banca dovendo installare processi d'autenticazione conformi agli usi

professionali (loc. cit.; Liégeois/Hirsch,

Ordres bancaires frauduleux: discours de la méthode in: SJ 2021 II pag. 147).

Alla luce della

giurisprudenza testé illustrata (sopra, consid. 6.2.1) v'è da chiedersi in che

misura la banca, dando prova della diligenza usuale negli affari, debba

riconoscere indizi particolari che inducono a concludere per un abuso nell'online

banking. Siccome un controllo dei singoli ordini di pagamento a opera di un

collaboratore della banca non è possibile, il riconoscimento può solo avvenire

attraverso sistemi informatici muniti di adeguati filtri o blocchi, quali il profiling

o il geoblocking (Reichart,

op. cit., pag. 402 seg.). Considerato il progresso tecnologico in

continua evoluzione, non è facile tuttavia dire quale sia la diligenza usuale

esigibile dalle banche (Reichart, loc.

cit.). Una colpa grave sembrerebbe ammettersi nel caso in cui il sistema

informatico avrebbe dovuto rilevare la natura manifestamente insolita

dell'ordine (Liégeois/Hirsch, loc.

cit.; analogamente Rappo/Stojanovic,

E-banking et fraudes informatiques in: Expert Focus 1-2/18 pag. 62).

6.2.3

L'appellante ribadisce

che a prescindere dalle modalità operative concordate (immissione di una password

e di un codice matrice figurante su un supporto cartaceo: doc. D) alla banca

incombeva un obbligo di verifica, viste le particolarità dell'operazione

contestata. L'istruttoria avrebbe dimostrato che le parti avevano pattuito

un'autorizzazione all'esecuzione di ordini di pagamento di salari, circostanza

che si evince dalla convenzione medesima relativa all'e-banking (doc. D)

come pure dal proprio scopo sociale (reclutamento, selezione e collocamento di

personale). L'ordine di € 74'300.-, modificato in fr. 113'224.14 risultava

pertanto palesemente inusuale viste le modalità, gli importi e la destinazione

(Lituania in un primo momento e poi Turchia) del bonifico che non corrispondeva

alle finalità operative dichiarate della società che oltretutto effettuava

unicamente versamenti nazionali dell'ordine di fr. 3'000.-/4'000.- al massimo. Ciò

posto, il Pretore non poteva limitarsi a ritenere che nell'estratto conto

figuravano anche bonifici senza specifica di sorta. Dandosi un ordine di

pagamento inusuale – come ha del resto ammesso lo stesso Pretore – la banca

avrebbe dovuto compiere accertamenti supplementari. Non avendolo fatto, quando

sarebbe bastato un breve contatto telefonico per avere un riscontro, la

convenuta avrebbe commesso una colpa grave. Che la banca non disponesse di un

sistema in grado di individuare ordini sospetti non permette a costei di

sgravarsi dall'obbligo di verifica ma integra una grave violazione del dovere

di diligenza, spettando alla medesima dotarsi delle opportune soluzioni

tecnologiche – quali un sistema di logaritmi di analisi – e di organizzazione

per adempiere al proprio dovere di diligenza. Senza contare – epiloga

l'appellante – che, come si evince dalla deposizione del teste G__________ M__________,

la banca sarebbe stata in grado di offrire un sistema di protezione più

efficace, ovvero quello tramite codice SMS detto "mTAN" (numero

mobile di autorizzazione alla transazione: doc. D), che la convenuta non ha

però implementato nei suoi confronti lasciandola così operare con un sistema

vulnerabile e meno sicuro (memoriale, pag. 9 a 18, n. 7 e 8).

6.2.4

Da quest'ultima

argomentazione va subito sgombrato il campo. Non è la convenuta che ha omesso

di implementare nei suoi confronti il sistema di identificazione

"mTAN" – già fruibile nel febbraio 2014 (v. Doc. D, pag. 1 n. 3) – ma

è l'attrice medesima che – non si sa per quali ragioni – non se ne è avvalsa.

D'altronde l'appellante non contesta di avere optato per il sistema di accesso

fondato sull'immissione di una password e del codice matrice. Perché poi il

sistema d'accesso "mTAN" garantisse una maggiore sicurezza nella

tutela contro gli ordini fraudolenti l'interessata non spiega, sicché al

riguardo l'appello si rivela finanche irricevibile per carenza di motivazione.

Ma quand'anche il sistema di accesso tramite SMS fosse stato effettivamente più

sicuro, nulla impediva all'attrice di indicare nella relativa rubrica (doc. D:

"3. Identificazione per l'E-Banking – mTAN") il numero di telefonia

mobile cui inviare i codici supplementari, come ha obiettato l'appellata

(risposta, pag. 15). L'attrice va rimessa così alle proprie responsabilità.

6.2.5

Per quel che è della

pattuizione di un'autorizzazione all'esecuzione di (soli) ordini di pagamento

di salari, si rileva anzitutto che la censura è formulata in modo poco chiaro

se non contraddittorio, al punto 7.3 del memoriale (pag. 12) l'appellante

sembrando revocare o quanto meno relativizzare l'allegazione ("Ora,

l'appellata non ha mai sostenuto che con la banca fosse stato concordato che

sarebbero stati eseguiti unicamente dei pagamenti di salario. Questo aspetto è

comunque del tutto irrilevante in quanto l'esecuzione del pagamento di salari è

in concreto l'unica operazione che è stata eseguita sul conto

dell'appellante"). A parte ciò, il Pretore ha rilevato che se nella

convenzione (al punto 4b "Autorizzazione di accesso ad hoc per i seguenti

conti/depositi") risultava effettivamente spuntata la casella

"Pagamenti di salari", ciò non significava che l'unica finalità del

conto fosse il traffico di pagamenti connessi ai salari, nel medesimo documento

essendo vistata anche la rubrica "interrogazioni e ordini" che poteva

riferirsi genericamente a pagamenti di altra natura, come confermava del resto

l'estratto conto in cui figuravano anche bonifici senza alcuna specifica

(sentenza impugnata, pag. 12). E al riguardo l'appellante si limita a

contrapporre la propria soggettiva valutazione asseverando – per altro per la

prima volta in appello – che il contesto operativo del conto e quindi la natura

salariale delle "interrogazioni e ordini" si evincevano dal settore

di attività della società senza spiegare perché l'accertamento del primo

giudice – fondato su un esame dell'estratto conto – sarebbe erroneo. Al

proposito l'appello si dimostra quindi irricevibile per carente motivazione.

6.2.6

Quanto alla censura che

alla banca, date le particolarità dell'operazione, incombeva un obbligo di

verifica a prescindere dalle modalità di accesso concordate, si conviene con

l'appellante – come ha accertato per altro lo stesso Pretore – che l'ordine di

pagamento in rassegna era anomalo già solo in ragione degli importi (il conto

essendo stato intaccato per il 90% del suo saldo: plico doc. 14, pag. 142 seg.

dell'estratto) e della destinazione esotica del bonifico (Lituania e Turchia,

allorché gli altri pagamenti, tranne tre, erano limitati al territorio

svizzero: plico doc. 14, pag. 3, 117 e 140). Come va dato atto all'attrice che

il solo fatto – non contestato – che il sistema operativo della convenuta non

fosse in grado di segnalare transazioni insolite non poteva – contrariamente

all'opinione del primo giudice – essere decisivo per escludere una colpa grave

della banca, quanto meno ove altri istituti finanziari nella stessa situazione

della convenuta fossero stati invece in grado, nel periodo in esame (settembre

2016) e valendosi anch'essi dei codici matrice per accedere ai loro sistemi e-banking,

di rilevare operazioni sospette. Il problema è che al riguardo manca ogni

accertamento e prova che incombeva all'attrice recare, trattandosi di esaminare

la diligenza che ci si poteva attendere in virtù degli usi

professionali

(sopra, consid. 6.2.1; cfr. pure DTF 108 II 314 consid. 4). Senza contare che

non sembrerebbero esservi state – comunque sia – chiare direttive che obbligavano

le banche nella stessa situazione della convenuta e per le modalità di accesso

in esame (che nemmeno l'appellante pretende fossero superate all'epoca dei

fatti) a installare, nel settembre 2016, dei programmi suscettibili di

analizzare il profilo del cliente e di bloccare o rielaborare manualmente, per

esempio tramite callback, ordini che non corrispondevano a un determinato

profilo (Reichart, op. cit., pag.

403; analogamente pure Stengel/Rüegg/Sommer/Stäuble/Freund,

Kooperationsformen zwischen Banken und Drittanbietern aus vertrags- und

datenschutzrechtlicher Perspektive in: SZW 2022 pag. 23). Non potendosi quindi

ammettere, in definitiva, una colpa grave della banca, l'appello vede la sua

sorte segnata.

7.

Gli oneri

processuali d'appello, calcolati su un valore litigioso di fr. 113'224.15,

seguono la soccombenza dell'appellante (art. 106 cpv. 1 CPC), che rifonderà

alla controparte ripetibili di fr. 4'000.- stabilite sulla base dell'art. 11

RTar.

8.

Il valore litigioso

determinante ai fini di un'eventuale impugnazione dinanzi al Tribunale federale

supera la soglia di

fr. 30'000.- prevista dall'art. 74 cpv. 1 lett. b LTF.

Dispositivo

Per questi motivi,

richiamati l’art. 106 CPC, la LTG e il RTar,

decide:

1. Nella misura in cui è

ricevibile, l’appello 24 agosto 2022 della AP 1 è respinto.

2. Le spese processuali

di fr. 6'000.- sono poste a carico dell'appellante che rifonderà alla

controparte fr. 4'000.- per ripetibili.

3. Notificazione:

- ;

- .

Comunicazione alla Pretura

della giurisdizione di Locarno-Città.

Per la seconda Camera civile del Tribunale d'appello

Il

presidente Il

vicecancelliere

Rimedi

giuridici

Nelle

cause a carattere pecuniario con un valore litigioso superiore a fr. 30'000.- è

dato ricorso in materia civile al Tribunale federale, 1000 Losanna 14, entro 30

giorni dalla notificazione del testo integrale della decisione (art. 100 cpv. 1

LTF). Qualora non sia dato il ricorso in materia civile è possibile proporre

negli stessi termini ricorso sussidiario in materia costituzionale (art. 113,

117 LTF). La parte che intende impugnare una decisione sia con un ricorso

ordinario sia con un ricorso in materia costituzionale deve presentare entrambi

i ricorsi con una sola e medesima istanza (art. 119 LTF).