Comunicare il proprio IBAN a uno sconosciuto non consente, di per sé, di effettuare bonifici in uscita, prelevare denaro o accedere all’home banking. L’IBAN identifica il conto corrente, ma non costituisce una credenziale di accesso né uno strumento con cui il titolare può disporre pagamenti.
Questo non significa, tuttavia, che la sua comunicazione a un truffatore sia priva di rischi. Il codice IBAN può essere utilizzato per tentare un addebito diretto non autorizzato e, soprattutto, per rendere più credibile una successiva telefonata fraudolenta.
Chi ha appena comunicato il proprio IBAN a un sedicente operatore bancario, a un falso corriere, a un presunto acquirente conosciuto online o a un soggetto che si è presentato sotto falsa identità deve quindi considerare due rischi distinti, ai quali corrispondono differenti precauzioni e forme di tutela.
Cosa non può fare un truffatore con il solo IBAN
L’IBAN è la coordinata bancaria che identifica un determinato conto di pagamento e viene normalmente comunicato per ricevere bonifici, accrediti o altre somme.
La sua conoscenza non consente di accedere al conto corrente, consultare il saldo, prelevare contanti o disporre bonifici in uscita. Per eseguire queste operazioni, infatti, sono necessarie le credenziali personali del cliente e, nei casi previsti, l’autenticazione forte mediante almeno due fattori indipendenti.
Il principio è stabilito dall’art. 5 del D. Lgs. 27 gennaio 2010, n. 11 che sancisce che un’operazione di pagamento può considerarsi autorizzata soltanto quando il pagatore abbia prestato il proprio consenso. In assenza del consenso, l’operazione è non autorizzata.
L’IBAN, quindi, non è una “password” o una “credenziale d’accesso” e non deve essere trattato come se consentisse automaticamente di svuotare il conto. Tale rischio, tuttavia, esiste e deriva dall’utilizzo fraudolento di quella informazione insieme ad altri dati personali o nell’ambito di successive tecniche di manipolazione.
Il primo rischio: gli addebiti diretti SEPA
Il primo rischio concreto è rappresentato dagli addebiti diretti SEPA, un tempo comunemente conosciuti come RID.
Con l’addebito diretto, l’operazione non viene disposta direttamente dal titolare del conto, ma dal beneficiario del pagamento sulla base di un mandato precedentemente rilasciato dal debitore. È il sistema utilizzato, ad esempio, per il pagamento periodico di utenze, abbonamenti, assicurazioni o altri servizi.
Un soggetto che conosca l’IBAN e i dati anagrafici della vittima può tentare di presentare un addebito diretto facendo apparire l’esistenza di un mandato che, in realtà, non è mai stato rilasciato.
L’eventuale esecuzione dell’addebito non lo rende però automaticamente legittimo. In assenza di un valido mandato, infatti, manca il consenso del titolare del conto e l’operazione deve essere considerata non autorizzata.
Per questo motivo è importante controllare periodicamente non soltanto il saldo e i movimenti, ma anche l’elenco degli addebiti diretti attivi sul conto corrente.
Il rischio più grave: una successiva truffa telefonica
Il secondo rischio è normalmente più insidioso e potenzialmente più dannoso.
L’IBAN completo, associato al nome del titolare, al numero di telefono e all’indicazione della banca presso cui è acceso il conto, può essere utilizzato per costruire una telefonata fraudolenta particolarmente credibile.
Il truffatore può presentarsi come dipendente della banca, operatore dell’ufficio antifrode o addetto alla sicurezza e citare dati reali del rapporto per conquistare la fiducia della vittima. Può quindi riferire di accessi abusivi, bonifici sospetti, blocchi imminenti del conto o altre false emergenze, chiedendo di comunicare codici ricevuti tramite SMS oppure di trasferire il denaro su un presunto conto sicuro.
La conoscenza dell’IBAN non consente quindi al truffatore di disporre autonomamente un bonifico, ma può rendere molto più efficace la manipolazione della vittima, sino a indurla ad autorizzare personalmente le operazioni necessarie allo svuotamento del conto.
Il numero visualizzato sul telefono non offre alcuna garanzia. Attraverso lo spoofing, infatti, i criminali possono far apparire sul display il numero ufficiale della banca o inserirsi in una conversazione SMS già esistente.
Nessun operatore bancario autentico chiede al cliente di comunicare codici dispositivi, installare programmi di controllo remoto o trasferire il denaro su un altro conto per ragioni di sicurezza.
Il rimborso degli addebiti diretti entro otto settimane
Per gli addebiti diretti SEPA la disciplina offre al cliente una tutela particolarmente favorevole.
L’art. 13, comma 3-bis, del D. Lgs. n. 11/2010 riconosce al pagatore un diritto incondizionato al rimborso degli addebiti diretti SEPA, esercitabile entro otto settimane dalla data in cui le somme sono state addebitate.
Entro questo termine il cliente può quindi chiedere la restituzione dell’intero importo senza dover dimostrare che l’addebito fosse non autorizzato o superiore a quanto effettivamente previsto. Ai sensi dell’art. 14 dello stesso decreto, il rimborso deve essere eseguito entro dieci giornate operative dalla ricezione della richiesta.
Il diritto incondizionato riguarda il regime ordinario degli addebiti diretti SEPA. Per gli addebiti eseguiti mediante lo schema SEPA B2B, riservato ai clienti non consumatori, trova applicazione una disciplina differente.
Se il mandato non è mai stato rilasciato
Qualora la vittima non abbia mai sottoscritto o conferito alcun mandato, l’addebito non è soltanto contestabile entro otto settimane, trattandosi di una operazione di pagamento non autorizzata.
In questo caso si applicano gli artt. 9, 10 e 11 del D. Lgs. n. 11/2010.
Il cliente deve comunicare l’operazione alla banca senza indugio, non appena ne viene a conoscenza, e comunque entro tredici mesi dalla data dell’addebito.
Ricevuta la contestazione, la banca deve rimborsare l’importo immediatamente e, in ogni caso, entro la fine della giornata operativa successiva, riportando il conto nella situazione in cui si sarebbe trovato se l’operazione non fosse stata eseguita.
Il rimborso può essere sospeso soltanto quando l’intermediario nutra un motivato sospetto che la richiesta del cliente derivi da un comportamento fraudolento dello stesso, dandone immediata comunicazione scritta alla Banca d’Italia.
L’onere della prova grava sull’intermediario. Ai sensi dell’art. 10 del D. Lgs. n. 11/2010, spetta infatti alla banca dimostrare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito conseguenze derivanti da guasti tecnici o altri inconvenienti.
Nel caso degli addebiti diretti, il punto decisivo è l’esistenza di un valido mandato. La semplice esecuzione dell’addebito o la sua registrazione nei sistemi bancari non dimostrano, da sole, che il cliente abbia autorizzato l’operazione.
Cosa fare dopo aver comunicato l’IBAN
La sola comunicazione dell’IBAN non rende normalmente necessario chiudere il conto corrente o modificarne le coordinate.
È invece opportuno controllare immediatamente l’elenco degli addebiti diretti attivi, disponibile attraverso l’home banking o rivolgendosi alla banca, e verificare che tutti i beneficiari siano conosciuti e autorizzati.
Il cliente può inoltre chiedere alla propria banca di adottare specifiche misure di protezione. Le regole SEPA consentono, in particolare di:
- bloccare tutte le richieste di addebito diretto;
- creare una lista di creditori autorizzati dai quali accettare gli addebiti;
- predisporre una lista di creditori indesiderati;
- fissare importi massimi o specifiche periodicità per gli addebiti.
È inoltre consigliabile attivare le notifiche per ogni movimento del conto, comprese quelle relative agli addebiti diretti. In questo modo è possibile accorgersi immediatamente di un’operazione anomala e intervenire quando è ancora pienamente esercitabile il diritto al rimborso.
Diffidare dai contatti successivi
Nelle settimane successive alla comunicazione dell’IBAN deve essere trattato con particolare cautela qualsiasi contatto telefonico, SMS o e-mail nel quale vengano citati dati reali del conto.
La conoscenza dell’IBAN, del nome della banca o di altre informazioni personali non dimostra che l’interlocutore sia realmente un operatore bancario.
In caso di telefonata sospetta occorre interrompere immediatamente la comunicazione e contattare autonomamente la banca, utilizzando esclusivamente il numero riportato sul sito ufficiale, sull’applicazione o sulla carta di pagamento. Non bisogna richiamare il numero indicato dal presunto operatore né utilizzare collegamenti ricevuti tramite SMS o e-mail.
Non devono essere comunicati codici temporanei, password, PIN o credenziali di accesso. Allo stesso modo, non devono essere autorizzate operazioni destinate ad annullare, bloccare o mettere in sicurezza presunti pagamenti: si tratta di una delle formule più frequentemente utilizzate per indurre la vittima ad approvare la vera operazione fraudolenta.
Cosa fare se l’addebito è già stato eseguito
Se sul conto compare un addebito non riconosciuto, occorre inviare immediatamente alla banca una contestazione scritta, indicando la data, l’importo, il beneficiario e ogni altro riferimento dell’operazione.
Nella comunicazione deve essere specificato se il mandato era stato originariamente rilasciato, ma l’addebito viene comunque contestato entro le otto settimane, oppure se il mandato non è mai esistito e l’operazione viene quindi disconosciuta come non autorizzata.
È opportuno chiedere alla banca anche l’identificativo del creditore, il riferimento del mandato e ogni informazione disponibile sull’origine dell’addebito, nonché impartire istruzioni per impedire ulteriori operazioni provenienti dal medesimo beneficiario.
L’eventuale denuncia alle Forze dell’ordine è utile per documentare l’accaduto, ma non sostituisce il disconoscimento rivolto all’intermediario. La richiesta di rimborso deve sempre essere presentata direttamente alla banca nei termini previsti dalla legge.
Qualora l’intermediario non provveda al rimborso o respinga la contestazione senza fornire una giustificazione adeguata, il cliente può presentare ricorso all’Arbitro Bancario Finanziario e, nei casi di maggiore rilievo, agire davanti all’autorità giudiziaria.
Conclusioni
Comunicare il proprio IBAN a un truffatore non gli consente, da solo, di prelevare denaro o accedere al conto corrente. Il rischio non deve quindi essere ingigantito, ma neppure sottovalutato.
Da un lato, i dati acquisiti possono essere utilizzati per tentare addebiti diretti privi di un valido mandato. Dall’altro, possono costituire il punto di partenza per una successiva campagna di phishing o vishing costruita su informazioni reali e, proprio per questo, molto più credibile.
Il rimedio principale è il controllo tempestivo del conto. Verificare gli addebiti attivi, impostare limiti e blocchi, attivare le notifiche e diffidare dai contatti successivi consente di prevenire il danno o di intervenire prima che le somme vengano definitivamente sottratte.
Quando un addebito non riconosciuto è già stato eseguito, è essenziale contestarlo immediatamente, distinguendo tra il rimborso incondizionato entro otto settimane e il disconoscimento dell’operazione non autorizzata entro tredici mesi.
