Spoofing e colpa grave del cliente nell’home banking (ABF Collegio di Roma n. 4521 del 20.05.2026)

Principi di diritto (Massima)
Nel contenzioso sul disconoscimento di operazioni di pagamento online, la banca che documenti l’adozione di una procedura di autenticazione forte del cliente (SCA) conforme al Regolamento UE n. 2018/389 e la corretta registrazione e contabilizzazione delle operazioni assolve l’onere probatorio posto a proprio carico dall’art. 10, comma 1, del D.lgs. n. 11/2010. Il cliente che invochi una frode particolarmente insidiosa, segnatamente il vishing combinato con il caller ID spoofing, deve fornire evidenza documentale della chiamata asseritamente ricevuta e della riconducibilità dell’identificativo del chiamante all’intermediario. In difetto di tale prova, e ove il cliente abbia installato sul proprio dispositivo un’applicazione estranea all’intermediario su indicazione del sedicente operatore, integra colpa grave del cliente, idonea a escludere il rimborso e a escludere il concorso di colpa della banca.

Il Fatto

Il ricorrente, titolare di un conto corrente e di una carta di debito presso la banca resistente, disconosce due bonifici online disposti il 9.07.2025, dell’importo complessivo di Euro 4.292,00, addebitati sul conto. Secondo la ricostruzione del ricorso, la truffa sarebbe iniziata con una telefonata ricevuta sul cellulare, proveniente da un’utenza che sul display appariva riferibile al servizio clienti della banca; il sedicente operatore avrebbe indotto il ricorrente a scaricare e installare un’applicazione denominata “Questionario”. Solo il 12.07.2025 il ricorrente avrebbe appreso dell’esecuzione delle operazioni, avendo nel frattempo rilevato l’impossibilità di accedere all’app di home banking.

La banca ha confermato l’esistenza del servizio di home banking attivo dal 2022 e ha eccepito il corretto funzionamento dei propri sistemi, l’assenza di malfunzionamenti e la riconducibilità delle operazioni a un accesso effettuato dal dispositivo del ricorrente, chiedendo il rigetto del ricorso per difetto di prova della frode e per colpa grave dell’utente.

La motivazione del Collegio

Il Collegio inquadra le operazioni nella disciplina del D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della PSD 2, e nel Regolamento UE n. 2018/389 in materia di SCA. La resistente ha documentato che l’accesso all’area riservata e la conferma di ciascuna operazione hanno richiesto l’inserimento del PIN statico e di un OTP dinamico generato da Mobile Token, con doppio fattore basato su un elemento di conoscenza e su un elemento di possesso. Tale modalità è ritenuta conforme ai requisiti della SCA, con richiamo alla ABF, Collegio di Roma, decisione n. 6197/2024. L’onere probatorio della banca è quindi considerato assolto quanto ad autenticazione, registrazione, contabilizzazione e assenza di inconvenienti tecnici.

Il nucleo della decisione è però la valutazione della condotta del ricorrente. Il Collegio aveva chiesto, con ordinanza istruttoria del 13.02.2026, la produzione delle schermate del registro chiamate del giorno della truffa, per verificare la riconducibilità dell’utenza all’intermediario. Il ricorrente ha prodotto soltanto lo screenshot di un SMS recante segnalazione di una chiamata persa e quello di un messaggio con invito a compilare un questionario tramite link. Da tali documenti non è possibile riscontrare l’effettivo ricorrere del caller ID spoofing, cioè la manipolazione fraudolenta dell’identificativo del chiamante.

L’orientamento richiamato esige la prova delle chiamate fraudolente per consentire la verifica della corrispondenza tra identificativo e utenza della banca (ABF, Collegio di Roma, n. 8749/2024; Collegio di Milano, n. 22105/2021). L’assenza di tale riscontro impedisce di misurare la sofisticatezza della truffa e di accertare eventuali lacune organizzative della resistente, ipotesi richiamata con riguardo alla ABF, Collegio di Roma, n. 4310/2025.

A ciò si aggiunge un autonomo profilo di colpa grave: il ricorrente ha installato sul proprio dispositivo un’applicazione non riconducibile all’intermediario, compromettendone la sicurezza e verosimilmente consentendo a terzi l’accesso da remoto e la captazione delle credenziali. Sul punto il Collegio richiama le ABF, Collegio di Roma, n. 6359/2025, n. 4317/2024 e n. 7806/2023. Le negligenze sono ritenute imputabili esclusivamente al ricorrente e, in loro assenza, la truffa non si sarebbe verosimilmente consumata: non sussistono perciò i presupposti di un concorso di colpa. Il ricorso è respinto.