Smishing e vishing: nessun rimborso se il cliente autorizza il bonifico (ABF Collegio di Roma n. 4813 del 28.05.2026)

Principi di diritto (Massima)
L’operazione di bonifico disposta dal cliente che, ingannato da un SMS fraudolento, abbia concesso a terzi l’accesso remoto al proprio dispositivo e abbia autenticato il pagamento con codice PIN e fattore biometrico non costituisce operazione non autorizzata ai sensi del d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017. Ne consegue l’esclusione della responsabilità oggettiva del PSP, restando comunque scrutinabile la condotta dell’intermediario secondo le regole generali del diritto delle obbligazioni e della buona fede. Il fenomeno dello smishing, e il connesso vishing, è diffusamente noto e deve essere conosciuto dall’utente dotato di normale avvedutezza, tanto più se avvezzo all’home banking. L’intermediario che abbia registrato i fattori di autenticazione e tentato tempestivamente il recall non incorre in alcun addebito causale.

Il Fatto

La ricorrente, titolare di un conto corrente presso la banca resistente, riceveva un SMS apparentemente genuino che la informava di una disposizione di pagamento e la invitava a contattare un numero di servizio antifrode. L’interlocutore, presentatosi come operatore della banca, prospettava movimenti sospetti e otteneva la collaborazione della cliente per l’accesso da remoto al PC.

Il truffatore eseguiva così un bonifico dal sistema di home banking, autenticato dalla ricorrente mediante notifica push e riconoscimento biometrico. La cliente chiedeva la restituzione di 9.460,00 euro, lamentando che l’operazione, revocabile, non fosse stata bloccata tempestivamente e che il recall del giorno seguente fosse rimasto senza esito. La banca eccepiva che l’operazione era stata disposta personalmente dalla cliente e insisteva per il rigetto.

La motivazione del Collegio

Il Collegio parte dalla qualificazione dell’operazione. La difesa della banca sostiene che quella contestata non sia un’operazione non autorizzata, perché disposta per intero dalla ricorrente, circostanza che risulta ammessa dalla stessa parte nelle dichiarazioni rese in denuncia e nel ricorso.

Da qui due conseguenze. Per un verso va esclusa l’applicazione della disciplina della PSD2, con il correlato venir meno della responsabilità oggettiva del PSP. Per altro verso resta comunque da verificare l’eventuale apporto causale dell’intermediario alla frode, sulla base delle evidenze disponibili e secondo le norme di diritto comune. La natura autorizzata dell’operazione, precisa il Collegio, non sottrae la condotta della banca al vaglio sotto il profilo del corretto adempimento delle obbligazioni contrattuali, eventualmente integrato dal dovere di comportamento secondo buona fede. Sul punto richiama due proprie precedenti decisioni.

L’intermediario, peraltro, non si è sottratto all’onere di verificare la regolarità dell’operazione. I log versati in atti dimostrano che l’accesso all’APP è avvenuto da browser e che l’operazione dispositiva è stata validata con notifica push (fattore di possesso) e inserimento del codice PIN (fattore di conoscenza).

Quanto alle circostanze di fatto, la ricorrente ha ricevuto l’SMS da un’utenza privata non riconducibile all’intermediario, con il nome della banca e l’avviso di una disposizione di pagamento. Ha dato seguito all’indicazione, ha ceduto il controllo del PC da remoto al sedicente operatore e ha autenticato il pagamento. Il truffatore l’ha trattenuta al telefono per circa due ore, superando l’orario di cut-off e scongiurando la revoca. La banca ha comunque tentato il recall richiesto alle 20:23 del 10 settembre 2025, con esito negativo per indisponibilità di fondi.

La truffa è stata perpetrata mediante smishing, specie di phishing realizzata via SMS, cui si è aggiunto il vishing da utenza non riconducibile ai canali dell’intermediario. Si tratta di fenomeni diffusamente noti, che qualunque utente dotato di normale avvedutezza e prudenza, come si ritiene siano gli avvezzi all’home banking, dovrebbe conoscere. Sul piano causale nessun addebito può dunque muoversi alla banca, che si è anche attivata tempestivamente per il recall. Il ricorso è respinto.