Frode spoofing e SMS alert: mancata reazione del cliente integra colpa grave (ABF Collegio di Milano n. 8131 del 09.09.2026)

Principi di diritto (Massima)
In materia di servizi di pagamento disciplinati dal D. lgs. n. 11/2010, come modificato dal D. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE, la conformità dell’operazione alla Strong Customer Authentication costituisce il prius logico dell’accertamento sulla responsabilità del prestatore: una volta provata l’autenticazione a due fattori indipendenti, l’onere di dimostrare la frode, il dolo o la colpa grave dell’intermediario ricade sull’utilizzatore. La tecnica dello spoofing, anche nella forma mista a ID caller spoofing, è potenzialmente più decettiva del comune phishing o vishing, ma la sua maggiore insidiosità non esclude di per sé la colpa grave del cliente. Integra colpa grave, con rilievo assorbente, la condotta dell’utilizzatore che, pur avvertito da un SMS alert dell’importo elevato dell’operazione in corso, non attivi tempestivamente le procedure di blocco, così consentendo l’esecuzione del bonifico non autorizzato.

Il Fatto

Il ricorrente subiva una frode articolata in tre telefonate successive. La prima chiamata, riconducibile al numero verde del servizio clienti di un intermediario terzo, veniva effettuata nel contesto di un tentativo di frode sull’App di quest’ultimo; nel corso della stessa l’operatore apprendeva dell’ulteriore conto corrente intrattenuto presso il resistente e preannunciava il contatto da parte di un operatore di quest’ultimo. Poco dopo il cliente riceveva effettivamente una chiamata riferibile al servizio clienti dell’intermediario convenuto e, senza aver ceduto codici o OTP, registrava l’accesso all’home banking e l’esecuzione di un bonifico di € 4.950,00. Una terza chiamata, attribuibile alla stazione dei Carabinieri di Trieste, invitava il cliente ad autorizzare ulteriori operazioni. Solo dopo aver contattato il Numero Unico di Emergenza il ricorrente si avvedeva della truffa, presentava denuncia e chiedeva il rimborso dell’importo sottratto.

Il resistente eccepiva che il cliente aveva ammesso di aver fornito le credenziali di accesso, che le operazioni erano state correttamente autenticate e registrate e che non vi erano state intrusioni nei propri sistemi. Deduceva la colpa grave dell’utilizzatore, caduto in una frode del filone vishing senza verificare il canale sicuro messo a disposizione sull’App. Il ricorrente replicava di essere stato vittima di spoofing e non di vishing, di non aver ceduto alcun codice e di non aver ricevuto alcun messaggio di alert; invocava l’art. 10 del D. lgs. n. 11/2010 e la responsabilità aggravata ex art. 2050 cod. civ.

La Motivazione della Corte

Il Collegio ricostruisce il quadro normativo richiamando gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del D. lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019. La SCA è richiesta nell’accesso al conto online, nella disposizione dell’operazione di pagamento e in ogni azione a distanza che comporti rischio di frode; si realizza con almeno due dei tre fattori indipendenti di conoscenza, inerenza e possesso.

La normativa distribuisce gli oneri probatori in modo differenziato: la responsabilità degli utilizzi fraudolenti grava sull’impresa, salvo che essi siano cagionati da frode, dolo o colpa grave del cliente. Tale criterio presuppone sul piano fattuale che l’utilizzo non autorizzato derivi da furto o smarrimento dello strumento ovvero dall’illecito utilizzo dei codici dispositivi da parte di terzi frodatori.

Dai log prodotti risulta che l’operazione è stata resa possibile dall’inserimento di username, password e OTP. Attesa la conformità a SCA dell’operazione, il Collegio passa a verificare la sussistenza di profili di colpa grave del cliente, rispetto alla quale la prova di autenticazione rappresenta un prius logico, in aderenza al dato normativo e al precedente del Collegio coordinato n. 22745/2019.

Il registro delle chiamate conferma la riconducibilità dei contatti ai numeri ufficiali dei tre soggetti. Il Collegio qualifica la vicenda come spoofing misto a ID caller spoofing, tecnica più insidiosa del phishing e del vishing, che può trarre in inganno anche con una diligenza minima. Ciò nonostante, la maggiore sofisticazione della tecnica non basta a escludere la colpa grave.

Il rilievo decisivo è un altro: il cliente ha ricevuto un SMS alert che lo avvertiva dell’importo elevato. Poiché nessun pagamento era stato richiesto dai frodatori, il contenuto del messaggio gli avrebbe consentito di avvedersi tempestivamente che terzi, in possesso delle credenziali fornite, stavano eseguendo un’operazione non autorizzata e di bloccarla seguendo le istruzioni indicate. La mancata tempestiva attivazione del cliente assume rilievo assorbente e determina il rigetto del ricorso.