Truffa telefonica con spoofing: bonifico disposto dal cliente è operazione autorizzata (ABF Collegio di Palermo n. 1737 del 25.02.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta personalmente dal cliente, con inserimento delle disposizioni e di tutti i fattori di autenticazione, è autorizzata ai sensi dell’art. 5, commi 1 e 2, d.lgs. n. 11/2010, anche quando il pagatore agisca su istruzioni di un frodatore e senza la consapevolezza di compiere una transazione. In tale ipotesi, qualificata come operazione sotto dettatura, non opera il regime di responsabilità della PSD2 e l’intermediario non è tenuto alla prova delle procedure di strong customer authentication. La banca non risponde per omessa rilevazione di indici di anomalia quando l’operazione contestata risulti coerente con il profilo storico e contabile del cliente.

Il Fatto

La ricorrente riceveva un sms apparentemente riconducibile al numero della propria banca, che segnalava una transazione sospetta di € 4.893,12 e invitava a contattare un numero telefonico. Dopo aver composto il numero indicato, la cliente veniva richiamata da un’utenza che coincideva con quella dell’istituto. Convinta di eseguire una procedura di sicurezza, seguendo le istruzioni del sedicente operatore, disponeva un bonifico di € 4.893,00 verso un IBAN a lei sconosciuto, qualificato come “IBAN interno di sicurezza”. Solo al termine della conversazione constatava l’ammanco della somma.

La ricorrente contestava la carenza dei presidi di vigilanza dell’intermediario, che non avrebbe bloccato il pagamento sospetto né verificato l’identità del beneficiario, e chiedeva la condanna della banca alla restituzione. L’intermediario eccepiva che il bonifico era stato disposto personalmente dalla cliente, che avrebbe potuto revocarlo trattandosi di operazione ordinaria, e imputava l’accaduto alla colpa grave della stessa.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). Le fonti sulla strong customer authentication si rinvengono negli artt. 97 e 98 PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi dell’EBA. Da ciò deriva l’onere dell’intermediario di provare l’adozione delle procedure di autenticazione, salvo che l’operazione sia stata direttamente autorizzata dal cliente.

È quest’ultima l’ipotesi che il Collegio ravvisa nel caso di specie. Dalle dichiarazioni rese dalla ricorrente in sede di denuncia — ritenute di natura confessoria — emerge infatti che la stessa ha seguito le istruzioni del frodatore e ha effettuato il bonifico direttamente dalla propria app, indicando il numero di conto dettato dal truffatore. L’operazione è dunque stata compiuta per intero dal pagatore, con inserimento delle disposizioni e di tutti i fattori di autenticazione, e va considerata autorizzata ai sensi dell’art. 5, commi 1 e 2, d.lgs. n. 11/2010.

Ne consegue l’inapplicabilità del regime di responsabilità previsto dalla PSD2, perché l’operazione, pur frutto di raggiro, è stata posta in essere seguendo le indicazioni del frodatore: si tratta di operazione sotto dettatura, rispetto alla quale difetta nella vittima la consapevolezza di disporre una transazione. Il Collegio osserva inoltre che una maggiore attenzione avrebbe potuto indurre la ricorrente a cogliere l’inattendibilità dell’operazione, posto che il conto indicato risultava intestato a un soggetto con il cognome della banca, e che, non trattandosi di bonifico istantaneo, la stessa avrebbe potuto disporne la revoca.

Quanto all’indice di anomalia contestato — l’esosità dell’importo rispetto all’ordinaria operatività del conto — il Collegio ha disposto un supplemento istruttorio. Dall’esame degli estratti conto dell’anno precedente è emersa la presenza di disposizioni di pagamento di importo simile, ancorché effettuate dalla ricorrente a se stessa. L’operazione contestata risulta pertanto coerente con il profilo storico e contabile della cliente, con esclusione di ogni responsabilità della banca per omessa rilevazione di anomalie.

Il ricorso è stato conseguentemente respinto.