Spoofing e SCA: bonifico autorizzato resta a rischio del cliente (ABF Collegio di Palermo n. 1740 del 25.02.2026)

Principi di diritto (Massima)
Nel giudizio sul disconoscimento di un bonifico istantaneo disposto dal cliente raggirato mediante tecniche di spoofing, l’intermediario che dimostri l’adozione di una procedura di autenticazione a più fattori conforme alla strong customer authentication e l’assenza di malfunzionamenti del dispositivo fornisce prova dell’autorizzazione dell’operazione ai sensi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. Non si configura, pertanto, un’operazione non autorizzata e non opera la tutela restitutoria. La condotta del cliente che, indotto da una telefonata e da SMS contraffatti, disponga personalmente il bonifico di provvista e concorra all’operazione successiva integra colpa grave, idonea a escludere il rimborso. La simulazione del numero telefonico della banca, se non documentata dal registro delle chiamate, non è provata.

Il Fatto

Il ricorrente, il 4 agosto 2025, veniva contattato telefonicamente da un soggetto che simulava l’identità di un operatore della Polizia Postale, con un numero apparentemente riconducibile a una Questura. Per prevenire una presunta frode, veniva indotto a trasferire € 1.589,00 dal proprio conto a un altro conto a lui intestato. L’operazione era accompagnata dall’invio di SMS riconducibili alla banca, diretti a confermare l’attendibilità del sedicente agente. Solo in seguito il ricorrente constatava che dal conto di destinazione era stato disposto un ulteriore bonifico, di pari importo, verso un terzo ignoto.

Accertata la truffa, il ricorrente sporgeva denuncia e disconosceva formalmente l’operazione, chiedendo in ricorso il rimborso di € 1.589,00. L’intermediario resisteva sostenendo che l’operazione era stata eseguita con autenticazione a più fattori conforme alla normativa, che il bonifico era stato personalmente autorizzato e che la causa della frode andava imputata alla colpa grave del cliente.

La motivazione del Collegio

Il Collegio inquadra la controversia nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, con specifico riguardo alla disciplina della strong customer authentication dettata dagli artt. 97 e 98 PSD2, dal Regolamento Delegato UE 2018/389 e dai criteri interpretativi dell’EBA.

Il dato decisivo è la distinzione tra le due operazioni. Il bonifico di provvista dal conto del ricorrente verso l’altro conto a lui intestato è stato personalmente autorizzato, come ammesso in reclamo, denuncia e ricorso. Il bonifico successivo verso il terzo sconosciuto, invece, è apparso al Collegio non disposto dal ricorrente, sicché il Collegio ne verifica l’autenticazione attraverso i documenti prodotti dall’intermediario.

Dalle videate e dai log emerge che l’accesso all’app è avvenuto tramite riconoscimento biometrico (impronta digitale) e che il bonifico è stato autorizzato con il medesimo fattore biometrico e con l’invio sul dispositivo di un token di verifica. Il sistema ha quindi impiegato il doppio fattore: quello di inerenza e quello di possesso. Il dispositivo registrato è unico, coincide con quello abitualmente in uso al ricorrente ed è identificato da un codice univoco; i log non attestano alcun malfunzionamento. Il Collegio conclude che l’intermediario ha dato prova di una procedura di autenticazione conforme alla SCA.

Restava da valutare la colpa grave del ricorrente. Il Collegio riconosce che l’attacco è assimilabile alla tecnica dello spoofing, ma rileva che la simulazione del numero telefonico della banca non è provata, mancando in atti il registro delle chiamate. Quanto agli SMS spoofing, pur inseriti nel canale di comunicazione della banca, gli errori grammaticali contenuti nei messaggi avrebbero dovuto allarmare il cliente. L’intermediario ha inoltre provato l’invio di una notifica push di alert riepilogativa dell’operazione. Non emergono infine indici di anomalia ex D.M. 112/2007, non avendo il ricorrente depositato documentazione sulla difformità dell’operazione rispetto al normale utilizzo del conto.

Il ricorso è pertanto respinto, con conferma dell’impostazione secondo cui l’operazione autorizzata, ancorché frutto di raggiro, resta a rischio del cliente che vi abbia dato causa con la propria condotta.