Introduzione
Il phishing, ovvero l’inganno digitale che spinge le persone a consegnare le proprie credenziali a siti falsi, è una delle minacce più diffuse nel panorama della sicurezza informatica. Non riguarda solo grandi aziende o esperti di tecnologia: colpisce chiunque utilizzi internet per vendere oggetti, fare acquisti o accedere ai propri conti. Un caso recente, emerso in Polonia e arrivato fino alle istituzioni europee, mostra quanto questa truffa possa essere sofisticata e quanto le conseguenze legali siano ancora in parte da definire.
Cosa è successo
Un cliente della banca polacca PKO BP S.A. stava probabilmente usando una piattaforma di vendita o aste online quando è stato contattato da quello che sembrava un acquirente interessato. Questo sconosciuto gli ha inviato un collegamento che appariva identico alla pagina di accesso della sua banca. La vittima ha inserito le proprie credenziali su quel sito falso, senza rendersi conto dell’inganno. Il truffatore, a quel punto in possesso dei dati di accesso, ha eseguito una transazione non autorizzata, sottraendo denaro dal conto.
La banca ha rifiutato di rimborsare il cliente, sostenendo che il comportamento della vittima fosse gravemente negligente, ovvero che avesse agito con una leggerezza tale da escludere qualsiasi responsabilità dell’istituto di credito. Il caso è finito davanti alle autorità giudiziarie europee. A marzo 2026, l’Avvocato Generale della Corte di Giustizia dell’Unione Europea, Athanasios Rantos, ha emesso un parere in cui sostiene che le banche siano obbligate a rimborsare immediatamente le transazioni non autorizzate. Solo in un secondo momento, se riescono a dimostrare che il cliente ha agito con negligenza grave, possono cercare di recuperare le somme rimborsate. Non è noto chi sia il truffatore.
Perché è importante
Questo caso non riguarda solo una persona e una banca in Polonia. Stabilisce un principio che potrebbe valere per tutti i consumatori europei: il rimborso immediato non è una concessione della banca, ma un diritto. Rovescia l’onere della prova, imponendo all’istituto di credito di dimostrare la negligenza del cliente, non il contrario. Per milioni di utenti che ogni giorno ricevono messaggi sospetti o cliccano su link inattesi, questa distinzione è fondamentale.
Cosa possono fare ora aziende e utenti
Chiunque venda online dovrebbe verificare con attenzione qualsiasi collegamento ricevuto da acquirenti sconosciuti, anche se sembra provenire da fonti affidabili. Prima di inserire le proprie credenziali bancarie, è buona abitudine digitare direttamente l’indirizzo della banca nel browser, senza cliccare su link esterni. Le aziende che gestiscono piattaforme di vendita dovrebbero informare meglio i propri utenti su questi rischi, magari con avvisi visibili durante le transazioni.
Takeaway finali
- Il phishing colpisce persone comuni in situazioni quotidiane come la vendita di oggetti usati online.
- Secondo un parere dell’Avvocato Generale UE, le banche dovrebbero rimborsare subito i clienti vittime di transazioni non autorizzate, salvo provare in seguito la negligenza grave.
- La prima difesa rimane la cautela: non inserire mai le proprie credenziali bancarie attraverso link ricevuti da terzi.
Fonti:
https://www.bleepingcomputer.com/news/legal/eu-court-adviser-says-banks-must-immediately-refund-phishing-victims/
https://curia.europa.eu/site/upload/docs/application/pdf/2026-03/cp260031en.pdf
https://ieu-monitoring.com/editorial/eu-advocate-general-opinion-banks-must-refund-unauthorised-payments-immediately/892645
Fonte: BleepingComputer