Frode informatica da vishing e responsabilità parziale dell’intermediario per operazioni anomale (ABF Collegio di Roma n. 4037 del 07.05.2026)

Principi di diritto (Massima)
In tema di pagamenti elettronici non autorizzati, il sistema autorizzativo conforme alla Strong Customer Authentication, comprovato dai log dell’intermediario, esclude la responsabilità del prestatore di servizi di pagamento per le singole transazioni. Tuttavia, l’intermediario risponde nei limiti del danno equitativamente determinato quando non attiva il monitoraggio delle operazioni che il d.m. n. 112/2007 individua come indicatori di frode: più pagamenti concentrati nello stesso arco temporale, verso il medesimo beneficiario, di importo rilevante e identico. La comunicazione dei codici dispositivi a un sedicente operatore, in assenza di una frode più sofisticata, integra colpa grave della vittima e giustifica il rigetto della domanda restitutoria integrale.

Il Fatto

Il ricorrente riferisce di aver ricevuto un sms che lo avvertiva della clonazione della propria carta, con invito a cliccare un link, e poco dopo una telefonata da un sedicente operatore dell’intermediario. Convinto di parlare con il personale della banca, seguiva le istruzioni, modificava le password dell’account tramite il link e inseriva i codici OTP richiesti. Il falso operatore gli prospettava poi la necessità di autorizzare alcune operazioni di verifica della sicurezza dell’account.

Venivano così eseguiti cinque pagamenti e-commerce, tre su carta di debito e due su carta prepagata, per complessivi € 7.320,00. Il ricorrente chiedeva la restituzione integrale con interessi e rivalutazione, il risarcimento del danno non patrimoniale e il rimborso del contributo. L’intermediario eccepiva che le operazioni erano state autenticate con le credenziali incautamente fornite ai frodatori, che i sistemi non erano stati compromessi e che il blocco delle carte era intervenuto solo dopo le transazioni.

La motivazione del Collegio

Il Collegio ricostruisce in via preliminare il sistema autorizzativo. Le operazioni risultano approvate tramite autenticazione forte, con accesso in app mediante codice identificativo e conferma delle push sul dispositivo in uso al cliente prima della truffa. L’intermediario deposita i log relativi alle notifiche e alle richieste di autorizzazione. Richiamando proprie precedenti decisioni, il Collegio ritiene il sistema conforme alla SCA e alle indicazioni tecniche di riferimento.

Superato questo vaglio, resta da verificare se la condotta del ricorrente integri colpa grave. Il registro chiamate allegato non consente di riferire il contatto all’intermediario, il numero indicato nella denuncia non coincide con quello dell’istituto e il mittente dell’sms non è ascrivibile alla banca. La comunicazione dei codici dispositivi nel corso della telefonata truffaldina viene considerata dai Collegi indice di colpa grave, perché l’impiego di una media diligenza sarebbe sufficiente a scongiurare il pericolo.

Il Collegio accoglie invece, sia pure parzialmente, il profilo dell’anomalia delle operazioni. I principi del d.m. n. 112/2007, pur privi di valore precettivo diretto, esprimono un generale obbligo di monitoraggio. Nel caso concreto cinque pagamenti si concentrano nell’arco di circa un’ora, per un importo complessivo rilevante, verso lo stesso beneficiario, tre dei quali dello stesso importo. L’art. 8, comma 1, lett. a) n. 2 del decreto individua il rischio di frode in presenza di tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita.

Questo profilo è decisivo per attribuire all’intermediario una responsabilità parziale. Il Collegio liquida equitativamente in € 3.000,00 il rimborso dovuto, respingendo la domanda restitutoria integrale, quella di rivalutazione monetaria e quella di risarcimento del danno non patrimoniale, enunciata ma non provata nel suo an e quantum. L’intermediario è inoltre tenuto al contributo alle spese della procedura e al rimborso del contributo versato dal ricorrente.