ABF, decisione n. 4701/2026: vishing e bonifici istantanei, la prova dell’autenticazione è “prius logico” rispetto alla colpa grave
Arbitro Bancario Finanziario, Collegio di Milano, decisione n. 4701 del 26 maggio 2026 (seduta del 7 maggio 2026) — Pres. Tina, Rel. Rizzo.
I fatti
Il ricorrente riceveva una serie di telefonate da soggetti che si spacciavano per operatori della propria banca, i quali lo avvisavano di presunti bonifici sospetti da “annullare” con urgenza. Seguendo le istruzioni ricevute telefonicamente, il cliente autorizzava — attraverso i canali indicati dai truffatori — quattro bonifici istantanei per un importo complessivo di € 7.400,00, che confluivano su conti di terzi estranei al rapporto bancario. Accortosi della frode, il ricorrente presentava reclamo chiedendo il rimborso integrale delle somme, reclamo respinto dall’intermediario.
La decisione
Il Collegio ricostruisce anzitutto la distinzione, centrale in materia di frodi via vishing, tra operazione “autorizzata” e operazione della quale l’intermediario deve fornire prova dell’autenticazione. Il fatto che il cliente abbia prestato un consenso solo parziale — limitato, ad esempio, a un singolo passaggio della sequenza fraudolenta, e non all’esecuzione integrale dell’operazione di pagamento — non equivale, secondo la disciplina PSD2, ad autorizzazione dell’operazione nel suo complesso.
Punto dirimente della decisione è la verifica, operazione per operazione, della prova di Strong Customer Authentication fornita dall’intermediario. Dall’istruttoria emerge che, per nessuno dei quattro bonifici contestati, la banca ha prodotto evidenza documentale della corretta autenticazione forte: mancano tanto la prova dell’inserimento del PIN dispositivo, quanto quella della notifica push di conferma, e per il terzo e quarto bonifico manca perfino l’evidenza dell’uso del token virtuale.
Il Collegio ribadisce che la prova dell’autenticazione costituisce un “prius logico” rispetto alla valutazione della colpa grave del cliente: solo dopo che l’intermediario abbia dimostrato che l’operazione risulta autenticata, autorizzata correttamente registrata e contabilizzata, e non abbia sofferto di malfunzionamenti tecnici, si può passare a valutare se il pagatore abbia agito con dolo o colpa grave. In carenza di tale prova, il ricorso va accolto a prescindere da ogni valutazione sulla condotta del cliente.
L’esito
Il Collegio accoglie integralmente il ricorso, condannando l’intermediario a rimborsare € 7.400,00, oltre interessi legali, alla somma di € 200,00 quale contributo alle spese della procedura in favore del Fondo gestito da Banca d’Italia e di € 20,00 in favore del ricorrente per il contributo versato all’atto della presentazione del ricorso.
Perché questa decisione conta, in pratica
La decisione conferma un orientamento ormai granitico dell’ABF: nelle frodi da vishing, non è sufficiente per l’intermediario dimostrare che il cliente abbia in qualche modo “collaborato” con i truffatori. Occorre la prova documentale, operazione per operazione, della Strong Customer Authentication. In assenza di questa prova, la responsabilità dell’intermediario è automatica, e il rimborso è dovuto per intero, indipendentemente dal grado di ingenuità mostrato dalla vittima nel rispondere alla telefonata fraudolenta.