Frode informatica phishing e vishing riparto di colpa e operazioni autorizzate (ABF Collegio di Milano n. 8284 del 14.09.2026)

Principi di diritto (Massima)
In tema di frode informatica realizzata mediante smishing e vishing, il prestatore di servizi di pagamento che provi l’autenticazione forte del cliente a due fattori, ai sensi dell’art. 10 bis del D. Lgs. n. 11/2010, assolve all’onere di cui all’art. 10, comma 1, del D. Lgs. n. 11/2010. La produzione di tale prova non esaurisce tuttavia l’onere probatorio, dovendo l’intermediario dimostrare anche la colpa grave dell’utente, che non si desume dalla sola regolarità formale dell’operazione. Ove la truffa presenti caratteri di particolare insidiosità, per l’uso di ID caller spoofing e la provenienza apparente delle chiamate da canali ufficiali, la colpa dell’utente va temperata e le colpe delle parti si ripartiscono in misura pari. Le operazioni di pagamento eseguite personalmente dall’utilizzatore, ancorché sulla base di un consenso viziato dal raggiro, costituiscono invece operazioni autorizzate e non sono rimborsabili.

Il Fatto

La ricorrente denuncia di essere stata vittima di una frode informatica articolata in due fasi. Un primo messaggio sms la induceva a contattare un sedicente operatore del servizio antifrode dell’intermediario; nel corso delle telefonate forniva le credenziali di accesso all’home banking e, su istruzioni di un sedicente carabiniere, installava un’applicazione che consentiva ai truffatori il controllo da remoto del proprio computer.

In tal modo veniva disposto un bonifico online di € 4.656,64, autorizzato dalla cliente mediante conferma della notifica push sull’App. Il giorno successivo, indotta dai truffatori a completare una presunta procedura di messa in sicurezza dei risparmi, la ricorrente eseguiva personalmente presso la filiale un bonifico ordinario di € 19.900,00. Disconosciuti gli addebiti, chiedeva il rimborso di complessivi € 24.556,65 oltre interessi. L’intermediario eccepiva la regolare autenticazione delle operazioni e la colpa grave della cliente, chiedendo il rigetto.

La Motivazione della Corte

Il Collegio muove dalla ricostruzione del quadro normativo applicabile, individuato nel D. Lgs. n. 11/2010 come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Rileva che, in presenza di un concorso causale parziale dell’utente nella fase autorizzativa, l’operazione non può dirsi per ciò solo autorizzata.

Quanto al primo profilo dell’onere probatorio, l’intermediario ha dimostrato che l’accesso all’area riservata e la disposizione del bonifico online sono avvenuti previo inserimento di userid e password e successiva conferma della notifica push sul device certificato della cliente. Il sistema è pertanto conforme ai criteri dell’autenticazione forte del cliente prescritti dall’art. 10 bis, comma 1, del D. Lgs. n. 11/2010, donde l’assolvimento degli obblighi di cui all’art. 8 del medesimo decreto.

Sul secondo profilo, il Collegio richiama l’orientamento del Collegio di Coordinamento n. 22745/2019: la sola prova dell’autenticazione non basta, occorrendo elementi di fatto convergenti dai quali desumere in via presuntiva la colpa grave dell’utente, precisata nei termini della straordinaria e inescusabile imprudenza. Nel caso concreto tale colpa non è desumibile in forma piena, perché la truffa è risultata particolarmente insidiosa: il numero telefonico dei truffatori corrispondeva al numero verde dell’intermediario e quello del sedicente carabiniere alla Stazione dei Carabinieri del luogo di residenza della cliente, circostanze idonee ad attenuare il livello di attenzione e sospetto.

Per la prima operazione il Collegio ripartisce quindi le colpe in misura pari, ponendo a carico dell’intermediario € 2.328,00, pari al 50% della somma sottratta, oltre interessi legali dal reclamo al saldo.

Quanto al bonifico di € 19.900,00, eseguito personalmente dalla ricorrente allo sportello, la domanda è rigettata. L’operazione, ancorché fondata su un consenso viziato dal raggiro, rientra tra le operazioni autorizzate e non è riconducibile all’art. 10 del D. Lgs. n. 11/2010. Non emergono inoltre i presupposti di una responsabilità concorrente dell’intermediario secondo le norme di diritto comune: la causale del bonifico era coerente con l’operatività della cliente, questa ha manifestato irremovibilità a fronte delle verifiche del personale di filiale e non è provato che la chiamata in corso fosse percepibile dall’operatore. Il tentativo di recall è stato esperito, senza esito.