Frode informatica e spoofing non provati: cliente responsabile per colpa grave (ABF Collegio di Torino n. 3561 del 22.04.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di servizi di pagamento, l’utilizzatore che neghi di aver autorizzato l’operazione non è automaticamente rimborsato: l’intermediario deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non si sono verificati malfunzionamenti, secondo l’art. 10 d.lgs. n. 11/2010. Fornita tale prova, la domanda di rimborso va respinta quando ricorra la colpa grave dell’utilizzatore ai sensi dell’art. 12, comma 4, d.lgs. n. 11/2010, che lo obbliga a sopportare per intero le perdite. Lo spoofing e il vishing allegati dal ricorrente possono escludere la colpa grave solo se debitamente provati, ad esempio mediante il registro delle chiamate dell’utenza: in difetto di documentazione, la ricostruzione della frode resta indimostrata e non giustifica il rimborso.

Il Fatto

La ricorrente riferisce di aver ricevuto il 23.09.2025 alcuni sms su presunti bonifici sospetti dai propri conti e di aver contattato utenze riconducibili al servizio clienti. Successivamente un sedicente operatore di un intermediario diverso da quello convenuto, attraverso una telefonata, la invitava a collegarsi dal computer e ne assumeva il controllo da remoto. Il figlio interrompeva la conversazione e accertava, tramite la caserma, che la figura del sedicente Maresciallo era inesistente.

Sul conto acceso presso l’intermediario resistente risultavano disposti due bonifici, per un totale di € 27.479,00, eseguiti alle ore 18:10 e 18:15 del 23.09.2025; un terzo bonifico da altro conto, presso intermediario non convenuto, veniva bloccato. La ricorrente presentava denuncia e reclamo, rigettato dall’intermediario, e adiva quindi l’ABF chiedendo il rimborso, oltre interessi e rivalutazione.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della PSD2. Il consenso del pagatore è elemento necessario dell’operazione autorizzata (art. 5). Quando l’utilizzatore disconosce l’operazione, l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti grava sull’intermediario (art. 10). Il limite è rappresentato dalla condotta fraudolenta o gravemente colposa dell’utilizzatore, che ai sensi dell’art. 12, comma 4, sopporta per intero le perdite.

Quanto alla prova dell’autenticazione, l’intermediario ha prodotto le evidenze informatiche dalle quali risulta che le operazioni sono state autenticate con autenticazione forte: per l’accesso web un elemento di possesso (codice OTP via SMS) e un elemento di conoscenza (codice ***ID); per i bonifici online l’app installata sul device e il codice ***ID. Sulla scorta di tali evidenze il Collegio ritiene provata l’autenticazione e conforme alla SCA la procedura seguita, richiamando Collegio di Bari, decisione n. 224/2025 e Collegio di Napoli, decisione n. 298/2026.

Superata la prova dell’intermediario, l’attenzione si sposta sul comportamento dell’utente. Dalle dichiarazioni della ricorrente emerge una ricostruzione per sms spoofing e vishing, con possibile concessione ai frodatori del controllo remoto del computer. Il Collegio riconosce la forte insidiosità del meccanismo e ammette che lo spoofing conclamato è idoneo a escludere la colpa grave, ma solo quando la circostanza sia provata, ad esempio con la produzione del registro chiamate dell’utenza (richiamando Collegio di Torino, decisione n. 12297/2024 e Collegio di Torino, decisione n. 1041/2022). Nel caso concreto manca tale produzione, così come manca la documentazione delle asserite chiamate al call center per il blocco del conto e della conferma ricevuta dagli operatori.

Il Collegio conclude quindi per la sussistenza della colpa grave: la condotta incauta della ricorrente, che ha seguito le indicazioni del sedicente operatore consentendo l’accesso da remoto al proprio pc e all’home banking, ha agevolato la truffa. Il ricorso non merita accoglimento.