Nessuna colpa grave del cliente per SMS spoofing e rimborso delle frodi (ABF Collegio di Roma n. 2583 del 20.03.2026)

Principi di diritto (Massima)
Nelle frodi riconducibili al cd. sms spoofing non è generalmente ravvisabile la colpa grave del pagatore, a meno che nel messaggio esca non si rinvengano indici di inattendibilità o anomalia. Ove tali indici manchino, la domanda restitutoria proposta dal cliente deve essere integralmente accolta. L’inserimento dei dati della carta e l’uso di un codice OTP comunicato al sedicente operatore non integrano di per sé un’autenticazione forte idonea a escludere la responsabilità dell’intermediario. Resta fermo che il ricorso deve avere ad oggetto la stessa questione esposta nel reclamo, con la conseguenza che le operazioni ivi non contestate restano fuori dalla cognizione dell’Arbitro.

Il Fatto

Il ricorrente riceve sulla medesima chat in cui la banca invia gli sms di sicurezza tre messaggi che lo allertano di disposizioni di pagamento non autorizzate, con invito a contattare un numero telefonico per il disconoscimento. Convinto della genuinità dei messaggi, anche perché un mese prima aveva subito un tentativo di frode analogo ed era stato contattato dalla banca con le stesse modalità, chiama il numero indicato. Un sedicente operatore antifrode, a conoscenza del precedente episodio e della sostituzione della carta, lo induce a seguire le istruzioni impartite, a spegnere il cellulare per presunte verifiche e a fornire i codici delle notifiche push. Solo al riaccendersi del telefono il ricorrente comprende di essere stato vittima di una truffa e chiede il blocco degli strumenti di pagamento.

L’intermediario eccepisce che il ricorso riguarda solo due operazioni, per complessivi € 3.232,00, e che le ulteriori transazioni non sono state oggetto di reclamo. Sostiene inoltre che le operazioni sono state eseguite su sito 3d secure con credenziali personalizzate, PIN e codice OTP, e che il comportamento del cliente, appartenente alle forze dell’ordine, sarebbe connotato da colpa grave.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile alle operazioni eseguite il 24 aprile 2025, collocandole dopo l’entrata in vigore della direttiva 2015/2366/UE, recepita con il d.lgs. n. 218/2017, e del regolamento delegato (UE) n. 2018/389, efficace dal 14.09.2019. Da tale data trovano applicazione le misure di sicurezza del d.lgs. n. 11/2010, tra cui l’art. 10-bis sull’autenticazione forte del cliente. Ai sensi dell’art. 12, comma 2-bis, salvo il caso di comportamento fraudolento, il pagatore non sopporta alcuna perdita se il prestatore non esige un’autenticazione forte.

La definizione di autenticazione forte, contenuta nell’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010, richiede due o più elementi indipendenti tra conoscenza, possesso e inerenza. Il Collegio richiama l’Opinion dell’EBA del 21 giugno 2019, secondo cui l’OTP via sms integra un elemento di possesso, mentre i dati riportati sulla carta non costituiscono né un valido elemento di possesso né di conoscenza. Ne deriva che, per le operazioni successive al 14.09.2019, l’inserimento dei dati della carta non integra un idoneo fattore di autenticazione.

Sul piano processuale, il Collegio rileva che l’istante non indica analiticamente le operazioni contestate, ma allega un documento con dieci disposizioni per complessivi € 7.272,86. Poiché nel modulo di disconoscimento sono contestate solo due transazioni, per € 2.020,00 e € 1.212,00, e il ricorrente non ha replicato alle controdeduzioni, l’individuazione delle operazioni oggetto di esame deve ritenersi pacifica, in applicazione della regola per cui il ricorso deve avere ad oggetto la stessa questione esposta nel reclamo.

Nel merito, l’intermediario deduce che le operazioni sono state validate con PIN e OTP generata da mobile token, previa approvazione di una notifica push. Richiamando la propria decisione n. 5250 del 28.03.2022, il Collegio ammette che un simile processo è astrattamente conforme alla SCA. Tuttavia, all’esito dell’istruttoria disposta con delibera del 12.11.2025, gli screenshot prodotti mostrano che l’sms esca si è collocato nella chat delle comunicazioni bancarie, seguito da sms genuini, e che i messaggi fraudolenti non presentano errori grammaticali.

Il Collegio qualifica quindi la vicenda come sms spoofing. Secondo l’orientamento condiviso tra i Collegi ABF, in tali fattispecie la colpa grave del ricorrente non è ravvisabile, salvo che emergano indici di inattendibilità o anomalia del messaggio. Nel caso concreto tali indici mancano. Il ricorso è pertanto accolto per le due operazioni oggetto di esame, con condanna dell’intermediario al pagamento di € 3.232,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.