Frode da caller id e venticinque bonifici istantanei (ABF Collegio di Roma n. 1049 del 05.02.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente l’operazione inserendo la disposizione di pagamento e tutti i fattori di autenticazione, la stessa deve considerarsi autorizzata e non soggetta al regime di responsabilità della PSD2, anche se disposta seguendo le indicazioni del frodatore. Ciò non esclude una responsabilità concorrente del PSP, valutabile secondo il diritto comune, quando dall’evidenza documentale emerga un apporto causale dell’intermediario. Gli indici di frode del D.M. n. 112/2007 non hanno valore precettivo diretto ma esprimono un generale obbligo di monitoraggio delle operazioni, applicabile in via analogica anche a bonifici e ricariche online. La mancata attivazione dell’intermediario dinanzi a un rischio di frode integra una disfunzione organizzativa che fonda la responsabilità per le operazioni non autorizzate.

Il Fatto

La ricorrente riferisce di aver ricevuto, il 27.11.2024, una telefonata da un numero riconducibile all’intermediario: un sedicente operatore autorizzato la avvisava di tentativi di frode online sul conto e sulla carta, invitandola ad autorizzare i pagamenti per poi stornarli. Nel corso della chiamata riceveva SMS apparentemente provenienti dalla banca che confermavano l’avvenuto storno. In poco più di due ore venivano eseguiti venticinque bonifici istantanei da € 495,00 ciascuno, per € 12.375,00, oltre a un pagamento con carta di € 189,93. La ricorrente chiede la restituzione dell’importo e delle commissioni.

L’intermediario eccepisce che le operazioni sono state regolarmente autenticate con sistema di autenticazione forte ai sensi del d.lgs. n. 218/2017 e che la frode è stata resa possibile solo dalla condotta gravemente colposa della cliente, configurabile come phishing. Offre in via conciliativa € 3.789,20, poi € 6.207,50, e dichiara di aver rimborsato le commissioni. La ricorrente rinuncia alla richiesta relativa all’operazione con carta e insiste sui bonifici, contestando l’omesso monitoraggio delle operazioni sospette.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: la controversia riguarda venticinque bonifici istantanei effettuati sotto la vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della Direttiva 2015/2366/UE (PSD2). Le operazioni risultano inserite e autorizzate dal device della cliente, come emergerebbe dalle evidenze informatiche e come pacificamente ammesso dalla ricorrente.

Secondo l’orientamento condiviso dai Collegi ABF, quando l’operazione è eseguita per intero dal pagatore — con inserimento della disposizione e di tutti i fattori di autenticazione — deve considerarsi autorizzata, anche nelle c.d. operazioni “sotto dettatura” seguite alle indicazioni del frodatore. In tali casi non è configurabile una responsabilità oggettiva del PSP. Il Collegio può tuttavia rilevare una responsabilità concorrente dell’intermediario, secondo le norme di diritto comune, quando emerga in concreto un apporto causale alla frode: ad esempio per indisponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, o mancato rilievo di indici di frode.

Nel caso di specie la ricorrente ha prodotto il registro chiamate, dal quale il numero risulta riconducibile al servizio clienti indicato sul sito dell’intermediario. Gli SMS prodotti non risultano però incasellati nella chat genuina della banca, così da escludere l’ipotesi di spoofing. Assume allora rilievo il numero di autorizzazioni richieste: il D.M. n. 112/2007, all’art. 8, lett. b), n. 1, configura il rischio di frode in presenza di sette o più richieste di autorizzazione nelle 24 ore per la stessa carta. Il Collegio di Roma già ammette l’applicazione analogica di tali indici alle operazioni di home banking.

Gli indici del decreto non hanno valore precettivo diretto in materia di disconoscimento, ma esprimono un generale obbligo di monitoraggio valorizzabile per valutare la condotta dell’intermediario. Il Collegio può considerare anche indici ulteriori, in presenza di operatività anomala rispetto alle movimentazioni storiche. Nel caso concreto, le venticinque operazioni dello stesso importo in arco temporale circoscritto e la chiamata da numero riconducibile alla banca integrano una frode sofisticata che, al pari dello spoofing, generalmente esclude la colpa grave dell’utente. Il Collegio liquida perciò equitativamente € 9.000,00, in parziale accoglimento del ricorso, con contributo di € 200,00 alla Banca d’Italia e rimborso di € 20,00 alla ricorrente.