Frode informatica via spoofing e ripartizione della responsabilità per colpa concorrente (ABF Collegio di Milano n. 448 del 20.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute per frode informatica, il prestatore di servizi di pagamento che produce evidenza dell’autenticazione forte del cliente a due fattori — conoscenza e possesso — assolve all’onere probatorio impostogli dall’art. 10, comma 1, D. Lgs. n. 11/2010, come novellato dal D. Lgs. n. 218/2017. La prova dell’autenticazione non esonera però l’intermediario dal dimostrare la colpa grave dell’utente, che deve emergere da elementi di fatto univoci e convergenti. Ove la truffa sia stata realizzata mediante spoofing telefonico e SMS riconducibili ai canali ufficiali dell’intermediario, la condotta del cliente, non gravemente negligente, giustifica la ripartizione del danno in misura pari tra le parti.

Il Fatto

Il ricorrente disconosce un bonifico istantaneo di € 17.450,00 eseguito il 23 giugno 2025, lamentando di essere stato vittima di una frode informatica realizzata con telefonate e SMS truffaldini. I truffatori, qualificandosi come operatori della banca, lo avevano indotto a reinstallare l’App di mobile banking e a registrarne una copia su altro device, dal quale è poi partita l’operazione.

L’intermediario si oppone, sostenendo la regolare autenticazione e contabilizzazione del pagamento e addebitando al cliente una colpa grave per aver agevolato l’installazione dell’App sui dispositivi dei truffatori.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis, individuando nel D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD II, la fonte dei due oneri probatori posti a carico del prestatore: la prova dell’autenticazione e della regolare esecuzione dell’operazione e la prova della frode, del dolo o della colpa grave dell’utente.

Sul primo versante, i log prodotti dall’intermediario dimostrano che l’enrollment dell’App è avvenuto con codice PIN e OTP inviato sul device certificato del cliente, e che l’accesso successivo e il pagamento sono stati autenticati mediante Smart Code e conferma della notifica push sul device. Il sistema rispetta dunque i requisiti dell’autenticazione forte a due fattori. Quanto al giroconto di € 16.000,00 utilizzato per costituire la provvista, il Collegio richiama la Decisione n. 8671/2024 del Collegio di Coordinamento, che lo sottrae all’obbligo di SCA in quanto operazione strumentale.

Passando al secondo profilo, il Collegio richiama il principio della Decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la sola prova dell’autenticazione non basta, occorrendo specifici elementi di fatto dai quali desumere per presunzione la colpa grave dell’utente. Nel caso concreto tali elementi mancano.

Il Collegio valorizza la natura particolarmente insidiosa della truffa, realizzata con ID caller spoofing e sms spoofing. Il numero telefonico utilizzato dai truffatori corrisponde a quello pubblicato sul sito dell’intermediario, circostanza che attenua il livello di attenzione e sospetto del cliente. Gli SMS appaiono esenti da errori grammaticali e riconducibili al canale ufficiale, rendendo giustificabile l’affidamento dell’utente.

Esclusa la colpa grave, il Collegio ripartisce le colpe in misura di metà ciascuna, condannando l’intermediario a corrispondere € 8.725,00, pari al 50% della somma sottratta, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 al ricorrente.