Caller ID spoofing e autorizzazione biometrica: concorso di colpa e ripartizione equitativa (ABF Collegio di Roma n. 2484 del 18.03.2026)

Principi di diritto (Massima)
Nel caso di caller ID spoofing, in cui il frodatore contatti il titolare simulando il numero dell’intermediario e lo induca ad autenticare con notifica push e elemento biometrico pagamenti online da lui avviati, non ricorre l’ipotesi dell’operazione eseguita per intero dal pagatore e trova quindi applicazione il regime di responsabilità PSD2 sulle operazioni non autorizzate. Accertata la colpa grave del cliente, gli indici di frode del d.m. n. 112/2007 non hanno valore precettivo diretto, ma costituiscono parametri per valutare in concreto la negligenza tecnica del prestatore di servizi di pagamento. Il rimborso si determina con giudizio sintetico sulla condotta complessiva delle parti, assumendo a base di calcolo l’intero ammontare disconosciuto e distribuendo il concorso di colpa in via equitativa.

Il Fatto

Il ricorrente è stato contattato telefonicamente da un sedicente operatore dell’intermediario, tramite un numero riconducibile all’istituto. Il truffatore gli ha prospettato presunti pagamenti sospetti sulla sua carta prepagata e lo ha indotto a spostare fondi da un conto verso la carta e poi a cliccare sulle notifiche push ricevute, autenticandosi con l’elemento biometrico. In tal modo il ricorrente ha autorizzato inconsapevolmente numerosi pagamenti online, credendo di bloccare le operazioni fraudolente. Ha chiesto la retrocessione dell’intero importo.

L’intermediario ha eccepito che le operazioni erano state eseguite in prima persona dal ricorrente e che questi aveva agito con colpa grave, dando seguito pedissequamente alle richieste telefoniche; ha inoltre escluso l’applicabilità della disciplina sulle operazioni non autorizzate. Il ricorrente ha replicato di essersi attivato per verificare l’identità del chiamante e di aver ricevuto conferme dai messaggi ricevuti.

La motivazione del Collegio

Il Collegio affronta anzitutto l’eccezione di inapplicabilità della PSD2. L’operazione disconosciuta non è sottratta al regime di responsabilità sulle operazioni non autorizzate solo perché il pagatore ha posto in essere l’autenticazione: ciò accade quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione. Nel caso concreto, invece, i pagamenti online sono stati avviati dal frodatore e solo inconsapevolmente completati dal ricorrente mediante la notifica push e l’autenticazione biometrica.

La fattispecie è ricondotta alla tipologia del caller ID spoofing, per la quale il Collegio di Roma applica l’orientamento condiviso elaborato in materia di sms spoofing: si ravvisa un concorso di colpa tra le parti, da un lato per la negligenza grave dell’utente che agevola la truffa, dall’altro per le criticità organizzative del servizio di pagamento. Le operazioni contestate sono pagamenti online eseguiti nella stessa giornata, per un importo complessivo di € 8.907,89.

Il Collegio rileva poi che tutti i pagamenti sono avvenuti in poche ore, superando la soglia di sette richieste di autorizzazione nelle 24 ore individuata come indice di rischio di frode dall’art. 8 del d.m. n. 112/2007. Tali previsioni non hanno valore precettivo diretto, ma rappresentano utili indicatori per identificare anomalie e scenari di frode anche ai sensi dell’art. 2 del Regolamento EBA n. 2018/389, che impone agli intermediari di predisporre meccanismi idonei a rilevare operazioni non autorizzate o fraudolente. Una volta accertata la colpa grave del cliente, la ripartizione della responsabilità va determinata caso per caso.

Quanto alla quantificazione, il Collegio chiarisce che la base di calcolo è costituita dall’intero ammontare degli importi disconosciuti, senza esclusioni, e che il concorso di colpa si distribuisce in concreto. Assume rilievo anche il fatto che la telefonata proveniva da un numero riconducibile all’intermediario, elemento che ha colpevolmente rafforzato la fiducia del ricorrente nel frodatore. Sull’autenticazione, la ricostruzione dell’intermediario è confermata dalle dichiarazioni del ricorrente e dai log prodotti, che attestano l’invio delle notifiche push.

Il Collegio conclude per il concorso di colpa tra le parti e, in parziale accoglimento del ricorso, quantifica equitativamente il rimborso in € 4.500,00, ponendo a carico dell’intermediario anche il contributo alle spese della procedura e il rimborso del versamento per la presentazione del ricorso.