Richiesta documenti ex art. 119 TUB: come analizzare i dati forniti dalla banca in caso di truffa

Scoprire che il proprio conto corrente è stato svuotato o che i propri investimenti sono stati manipolati a propria insaputa è un evento traumatico. Di fronte a una frode bancaria (che si tratti di phishing, smishing, sostituzione di persona o gestione infedele da parte di un promotore), la prima sensazione è quella di totale impotenza di fronte a un muro di gomma eretto dall'istituto di credito.

Tuttavia, il correntista non è disarmato. La legge mette a disposizione uno strumento potentissimo per superare l'asimmetria informativa tra cittadino e banca: l'Articolo 119 del Testo Unico Bancario (TUB). Questo articolo garantisce al cliente il diritto incondizionato di ottenere copia della documentazione inerente a singole operazioni poste in essere negli ultimi dieci anni.

Ma ottenere i "fogli di carta" o i PDF dalla banca è solo l'inizio. Il vero nodo della questione, che affronto quotidianamente come perito informatico forense, è un altro: dopo la richiesta documenti ex art. 119 TUB, come analizzare i dati forniti dalla banca in caso di truffa? Un semplice estratto conto non vi dirà chi ha premuto il tasto invio o da dove è partita l'operazione fraudolenta. Per scoprirlo, è necessaria una profonda analisi forense dei tracciati informatici.

L'errore comune: Accontentarsi del semplice Estratto Conto

Quando le vittime di truffa (o i loro legali) formulano l'istanza ex art. 119 TUB, spesso si limitano a richiedere gli estratti conto o le contabili dei bonifici disconosciuti. Sebbene questi documenti certifichino l'avvenuto ammanco finanziario, sono quasi del tutto inutili per un'indagine informatica volta a dimostrare la responsabilità della banca o a rintracciare il truffatore.

Per condurre un'analisi tecnica efficace, la richiesta alla banca deve essere mirata e inequivocabile, esigendo la produzione dei dati di log e degli audit trail. Nello specifico, occorre richiedere:

• Log di accesso all'Home Banking: Date, orari al secondo (timestamp) e indirizzi IP di tutte le connessioni effettuate nel periodo sospetto.
• Log dispositivi: L'identificativo del dispositivo utilizzato (User Agent, MAC Address, impronta del browser o modello di smartphone associato all'App banking).
• Tracciati di Strong Customer Authentication (SCA): I log relativi all'invio e all'inserimento dei codici OTP (One Time Password) o all'autenticazione biometrica. In sostanza, a quale numero di telefono o dispositivo è stato inviato il codice di sblocco?
• Log delle modifiche anagrafiche: Registri che mostrano se, e quando, sono stati modificati numeri di telefono, email o limiti di spesa prima dell'attacco.

Richiesta documenti ex art. 119 TUB: come analizzare i dati forniti dalla banca in caso di truffa

Una volta che la banca ottempera (spesso dopo vari solleciti legali) e fornisce questi file—che solitamente si presentano come lunghi elenchi testuali, file CSV o tabulati incomprensibili ai non addetti ai lavori—inizia il lavoro dell'informatica forense. Ecco come procediamo nell'analisi di questi dati critici.

1. Analisi e Correlazione degli Indirizzi IP

L'indirizzo IP è la targa digitale del dispositivo che si connette alla banca. Analizzando i tabulati, il perito cerca anomalie macroscopiche. Se un correntista si è sempre connesso dalla sua città in Italia tramite il suo provider abituale, e improvvisamente i log mostrano l'accesso decisivo per il bonifico fraudolento proveniente da un IP estero, da una rete VPN o da un nodo Tor, ci troviamo di fronte a una prova lampante di anomalia. Questa evidenza dimostra che i sistemi antifrode della banca avrebbero dovuto rilevare l'accesso sospetto e bloccare l'operazione cautelativamente.

2. Ricostruzione temporale (Timeline Analysis)

La tempistica è tutto. Il perito ricostruisce una timeline incrociando i timestamp forniti dalla banca con gli alibi digitali della vittima. Se l'operazione truffaldina risulta effettuata in un orario in cui il cliente stava utilizzando il proprio smartphone per una chiamata di lavoro tracciata, o era collegato alla rete Wi-Fi aziendale che mostra un IP completamente diverso da quello registrato dalla banca, si crea una divergenza fondamentale per dimostrare l'estraneità ai fatti del titolare del conto.

3. Verifica del Dispositivo e dello User Agent

I log ex art. 119 TUB devono contenere i dati del dispositivo autorizzato. Nelle truffe bancarie moderne (come la clonazione della SIM o il malware bancario), il truffatore "registra" un nuovo dispositivo per operare al posto della vittima. L'analisi del log confronterà la "firma" del dispositivo abituale del cliente con quella del dispositivo che ha effettuato il bonifico disconosciuto. Il cambio improvviso di device, non seguito da procedure di verifica rafforzata da parte dell'istituto, rappresenta una grave falla di sicurezza.

4. Indagine sui Log SMS/OTP e Variazioni Anagrafiche

Nelle frodi più sofisticate, l'attaccante modifica prima il numero di telefono del cliente nel database della banca, affinché i codici OTP per confermare il bonifico vengano recapitati al truffatore stesso. L'analisi tecnica dei log anagrafici rivelerà esattamente quando questa modifica è avvenuta, da quale operatore o postazione, dimostrando che il cliente era stato precedentemente "escluso" dai sistemi di alert.

Il metodo scientifico: L'acquisizione e l'analisi secondo lo Standard ISO 27037

Quando si analizzano dati informatici per produrli in un contenzioso legale o in una causa per il rimborso di un bonifico truffaldino, la forma è sostanza. Non basta "leggere" i dati forniti dalla banca e trarre delle conclusioni: i dati devono essere trattati in modo inoppugnabile.

L'intero processo di acquisizione, analisi e refertazione deve seguire rigorosamente lo standard internazionale ISO/IEC 27037:2012, che detta le linee guida per l'identificazione, la raccolta, l'acquisizione e la preservazione delle evidenze digitali. In un caso di truffa bancaria, ciò significa che:

La Relazione Tecnica: Dalla lettura del log alla prova legale

L'output finale di questo complesso lavoro analitico è la Relazione Tecnica Forense. Questo documento è il ponte tra la cruda informatica e il diritto. Il perito traduce i tabulati macchina (spesso composti da migliaia di righe di codice e stringhe alfanumeriche) in un'esposizione chiara, comprensibile per il Giudice o per l'Arbitro Bancario Finanziario (ABF).

La relazione evidenzierà le violazioni tecniche, le anomalie non rilevate dai sistemi antifrode dell'istituto e la mancanza di una corretta Strong Customer Authentication. In molti procedimenti per frode bancaria, la banca tenta di difendersi accusando il cliente di "colpa grave" (es. aver incautamente ceduto le proprie credenziali). Una perizia informatica profonda, basata sui log ottenuti tramite l'art. 119 TUB, è lo strumento decisivo per smontare questa tesi, dimostrando oggettivamente che le difese informatiche della banca sono state aggirate o erano inadeguate al livello della minaccia.