Frode da smishing e vishing: bonifici autorizzati ma responsabilità concorrente della banca (ABF Collegio di Palermo n. 1788 del 25.02.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte materialmente e personalmente dal cliente, con inserimento delle credenziali e dei fattori di autenticazione forte, non sono qualificabili come non autorizzate ai sensi del D.Lgs. n. 11/2010, anche quando la volontà sia viziata dal raggiro di terzi. Non opera, pertanto, il regime di responsabilità oggettiva del prestatore di servizi di pagamento. Resta tuttavia configurabile una responsabilità concorrente dell’intermediario secondo i principi di diritto comune, quando i sistemi di monitoraggio non rilevino indici di anomalia che avrebbero imposto un blocco cautelativo. La ripartizione del danno segue un giudizio sintetico sulla condotta complessiva delle parti.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario, riferisce di essere stata vittima di una frode informatica articolata. Riceveva un SMS apparentemente proveniente dalla banca, con l’avviso di una richiesta di pagamento in corso e l’invito a contattare un numero indicato come servizio clienti. Poco dopo veniva richiamata da un soggetto qualificatosi come operatore antifrode, che prospettava operazioni sospette e un rischio imminente per i fondi.

Insospettita, la cliente chiedeva di essere ricontattata tramite il recapito ufficiale dell’istituto. La chiamata giungeva effettivamente da un’utenza che sullo schermo appariva corrispondere al numero del servizio clienti. Sotto pressione e urgenza, la parte disponeva così una serie di bonifici istantanei, presentati come procedure di recall per mettere in sicurezza il capitale. Solo contattando il numero verde apprendeva il raggiro e chiedeva la restituzione delle somme. L’intermediario eccepiva l’inapplicabilità della disciplina sulle operazioni non autorizzate, l’avvenuta autenticazione regolare e la colpa grave della cliente.

La motivazione del Collegio

Il Collegio qualifica preliminarmente le operazioni. Dal ricorso e dalla denuncia emerge che i bonifici sono stati disposti materialmente e personalmente dalla cliente, sia pure sotto la spinta psicologica del raggiro. Il dato è dirimente: la disciplina del D.Lgs. n. 11/2010, attuativa della PSD2, presuppone che il pagamento avvenga senza il consenso del pagatore o mediante uso indebito dello strumento da parte di terzi.

Il Collegio dà continuità all’orientamento dei Collegi territoriali: le operazioni eseguite personalmente dal cliente, con volontà viziata da dolo o raggiro di terzi, non sono giuridicamente non autorizzate. La giurisprudenza arbitrale distingue il concorso meramente parziale dell’utente, come la comunicazione di un solo fattore di autenticazione, dall’ipotesi in cui l’operazione sia eseguita integralmente dal pagatore. Nel caso concreto la parte ha inserito la disposizione e validato tutti i fattori di autenticazione: il consenso è prestato nella forma convenuta e l’operazione è formalmente autorizzata. Il richiamo è alla decisione del medesimo Collegio n. 2787/24. Ne deriva l’esclusione del rimborso automatico.

Ciò non esime il Collegio dal verificare una responsabilità concorrente dell’intermediario secondo i principi di diritto comune, qualora emerga un apporto causale della banca per negligenze negli obblighi di diligenza professionale, in particolare nel monitoraggio delle anomalie.

Dalla lista movimenti emerge un’indoperatività sospetta: tre disposizioni nell’arco di ventiquattro ore a favore del medesimo beneficiario, con la terza contabilizzata il giorno successivo ma entro la finestra temporale decorrente dalla prima. Tale frequenza richiama i parametri dell’art. 8, lettera a), punto 2, del D.M. n. 112/2007, che qualifica come indice di anomalia tre o più richieste di autorizzazione nello stesso arco temporale verso il medesimo soggetto. Benché il decreto sia riferito alle frodi su carte di pagamento, il Collegio ne riconosce valenza di canone generale di diligenza e obbligo di monitoraggio, applicabile anche ai bonifici istantanei per identità di ratio.

La mancata intercettazione del flusso anomalo, per importi non esigui, integra una carenza nei presidi antifrode: la banca avrebbe dovuto sospendere cautelativamente le transazioni successive alla prima o attivare una verifica rafforzata. Accertata la responsabilità concorrente, il Collegio procede alla quantificazione con giudizio sintetico sulla condotta complessiva delle parti, richiamando le decisioni del medesimo Collegio n. 4200/24 e n. 4148/24. Tenuto conto del preponderante apporto causale della cliente, riconosce il rimborso nella misura del venti per cento dell’importo contestato, pari a € 1.660,27, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00.