Frode informatica mediante spoofing e concorso di colpa del cliente (ABF Collegio di Bologna n. 117 del 12.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, grava sull’intermediario la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10, d.lgs. n. 11/2010. Fornita tale prova, il rischio della frode resta a carico dell’intermediario, salvo che egli dimostri il dolo o la colpa grave dell’utilizzatore, in violazione degli obblighi dell’art. 7 del medesimo decreto. La prova della colpa grave può essere data anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ex art. 2729 c.c.. Quando la truffa si realizza mediante vishing con caller Id spoofing — cioè con chiamate provenienti da un numero riferibile all’intermediario — la frode è più insidiosa del vishing classico e si configura un concorso di colpa tra le parti, con responsabilità dell’intermediario per non aver adottato i presidi necessari a impedire l’uso del proprio numero.

Il Fatto

La ricorrente, il 19.03.2025, riceveva un sms nel canale dell’intermediario che la avvertiva del collegamento di un dispositivo sconosciuto al proprio conto e la invitava a chiamare un numero indicato. Dopo una serie di contatti telefonici con sedicenti operatori dell’ufficio sicurezza, le veniva chiesto di installare una app di sicurezza e di fornire l’autorizzazione tramite impronta digitale. Il giorno successivo l’intermediario la informava di un bonifico di € 11.211,00 disposto sul suo conto.

La ricorrente, sostenendo di essere stata vittima di spoofing e di non aver mai autorizzato l’operazione, chiedeva il rimborso integrale della somma, oltre interessi e spese legali. L’intermediario si opponeva, eccependo la colpa grave della cliente per aver inserito il dato biometrico e ricevuto la notifica push dell’operazione.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile richiamando la PSD2 e il d.lgs. n. 11/2010. L’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione grava sull’intermediario ex art. 10; solo ove tale prova sia fornita si passa a valutare la condotta dell’utilizzatore.

Dai log in atti emerge che il bonifico è stato disposto mediante un dispositivo su cui l’app dell’intermediario era già installata e di cui la ricorrente non disconosce la titolarità. L’autenticazione è avvenuta con impronta digitale e OTP generata tramite mobile token, nel rispetto della disciplina della SCA. Il Collegio richiama in proposito un caso analogo deciso dal Collegio di Palermo.

Spetta allora all’intermediario provare il dolo o la colpa grave della cliente, anche per presunzioni. Il Collegio richiama l’orientamento della Cass. civ., Sez. II, n. 654 del 2010 sull’ammissibilità della prova indiziaria, e la decisione del Collegio di Coordinamento n. 3947/2014, secondo cui è richiesto un quid pluris rispetto alla semplice dotazione del dispositivo.

Nel caso concreto la truffa è qualificata come vishing caller Id spoofing: la ricorrente ha prodotto lo screenshot dal quale il numero chiamante coincide con quello del servizio clienti dell’intermediario. Secondo l’orientamento prevalente richiamato (Collegio di Milano n. 17467/2021; Collegio di Roma n. 8749/2024), in simili ipotesi si ravvisa un concorso colposo delle parti, imputando all’intermediario di non aver adottato tutti i presidi necessari a impedire che il truffatore chiamasse la cliente con un numero a lui riferibile.

Il Collegio quantifica la responsabilità dell’intermediario in un terzo dell’importo, riconoscendo € 3.363,00, oltre interessi legali dal reclamo al saldo. Rileva inoltre che l’intermediario ha documentato la notifica del bonifico, contrariamente a quanto sostenuto dalla ricorrente. Le spese legali non sono rimborsabili, per la non particolare complessità della controversia.