Frode online e spoofing: onere della prova e colpa grave dell’utente nel bonifico istantaneo (ABF Collegio di Torino n. 2200 del 11.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario assolve l’onere di cui all’art. 10 d.lgs. n. 11/2010 quando dimostra, con log informatici e legende esplicative, che l’operazione è stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti delle procedure. Il sistema di pagamento è conforme alla Strong Customer Authentication se impiega i fattori di autenticazione tanto per l’accesso quanto per la singola operazione. La produzione documentale relativa all’autenticazione non esaurisce però l’onere del prestatore di servizi di pagamento: questi deve indicare gli elementi di fatto da cui desumere, in via presuntiva, la colpa grave dell’utilizzatore, che ricorre solo in presenza di un contegno abnorme e inescusabile. Il cliente che invoca un fenomeno di spoofing deve fornire elementi idonei a dimostrare la riconducibilità dei messaggi e delle chiamate all’intermediario.

Il Fatto

Il ricorrente riferisce di aver ricevuto un sms contenente un link, all’interno della chat con un intermediario diverso dal resistente. Cliccato il link, riceveva una telefonata da un numero apparentemente riconducibile a quel medesimo intermediario: un sedicente operatore lo informava di un tentativo di truffa in corso e lo induceva a installare un antivirus sul cellulare. Dopo un’ulteriore chiamata sull’utenza fissa, il soggetto estraneo operava dal conto del cliente, che approvava alcune disposizioni, tra cui un bonifico istantaneo di € 3.500,00 sul conto aperto presso il resistente.

Il ricorrente bloccava il conto, disconosceva l’operazione e chiedeva all’ABF il rimborso della somma. L’intermediario resistente chiedeva il rigetto: l’operazione era stata autenticata con codice OTP e fattore biometrico tramite l’app installata sul telefono, e il cliente aveva agito con colpa grave seguendo le istruzioni di un interlocutore ignoto.

La motivazione del Collegio

Il Collegio colloca l’operazione, disposta il 19 febbraio 2025, nel perimetro del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Richiama le fonti sulla Strong Customer Authentication: gli artt. 97 e 98 della direttiva, gli artt. 10 e 10-bis del decreto, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA.

Sul primo versante dell’onere probatorio, il Collegio rileva che l’intermediario ha prodotto log informatici e evidenze documentali con legende esplicative. Da essi risulta un accesso da app alle 15:01:19, confermato con OTP e fattore biometrico, e la disposizione del bonifico alle 15:03:13, parimenti confermata. L’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti è quindi assolto, e il sistema è giudicato conforme alla SCA per l’impiego dei fattori sia in fase di accesso sia in fase di operazione.

Il Collegio passa poi alla colpa grave dell’utente, richiamando l’orientamento del Collegio di Coordinamento: la sola documentazione sull’autenticazione e sulla regolarità formale dell’operazione non basta, dovendo l’intermediario indicare gli elementi di fatto dalle modalità esecutive dei quali trarre, in via presuntiva, la prova della negligenza grave. Il grado della colpa è integrato solo da un contegno abnorme e inescusabile, valutato alla luce di tutte le circostanze concrete, e può essere provato anche per presunzioni, purché gravi, precise e concordanti ai sensi dell’art. 2729 c.c.

È qui che il ricorso cade. Il ricorrente sostiene di essere stato vittima di spoofing, nella forma dell’sms spoofed e del caller ID spoofed, ma produce soltanto l’evidenza di una chat composta da un unico messaggio eliminato, proveniente da un numero non riconducibile all’intermediario, e non offre alcuna prova delle asserite telefonate. Queste lacune impediscono al Collegio di verificare la riconducibilità del mittente all’intermediario e l’eventuale affidamento legittimo del cliente sulla genuinità del messaggio. Il ricorso è pertanto non accolto.