Frode smishing e vishing: operazione autorizzata se il pagatore la esegue integralmente (ABF Collegio di Milano n. 3417 del 17.04.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, sia nella fase dispositiva sia in quella di autenticazione, essa deve considerarsi autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010, con conseguente inapplicabilità del regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/UE e dal medesimo decreto. In tal caso l’intermediario è esonerato dalla prova dell’autenticazione e non è configurabile a suo carico una responsabilità oggettiva. Resta possibile una responsabilità concorrente del PSP ai sensi delle norme di diritto comune, purché dalla documentazione emerga un effettivo apporto causale dell’intermediario alla produzione del danno.

Il Fatto

La ricorrente riferisce di essere stata vittima di una frode articolata, basata su tecniche di smishing e vishing. In data 31 ottobre 2025 riceveva un SMS incasellato nella chat ufficiale dell’intermediario, con l’avviso di un pagamento eseguito e l’invito a contattare un numero indicato nel messaggio. Chiamato quel recapito, parlava con un sedicente dipendente dell’intermediario che le prospettava un bonifico sospetto e altri ordini di pagamento in corso. Il contatto si interrompeva per assenza di segnale; la ricorrente tentava invano di raggiungere il numero verde dell’intermediario e veniva poi ricontattata da un sedicente operatore dell’antifrode, che la istruiva a recarsi a uno sportello ATM per bloccare il bonifico in uscita.

Giunta all’ATM, riceveva ulteriori SMS nella chat ufficiale e, seguendo le istruzioni, eseguiva un bonifico istantaneo di € 4.698,00 nella convinzione di bloccare l’operazione fraudolenta, inserendo il codice OTP ricevuto sul proprio dispositivo. Presentava denuncia il medesimo giorno e reclamo, riscontrato negativamente. Chiede il rimborso della somma e delle spese di assistenza legale, lamentando l’inadeguatezza delle misure di prevenzione e la violazione della normativa sulla protezione dei dati personali. L’intermediario eccepisce che i numeri coinvolti non sono riconducibili alla propria struttura, che l’operazione è stata eseguita autonomamente dalla cliente e che il recall del bonifico è stato tentato senza successo.

La motivazione del Collegio

Il Collegio concentra l’analisi sulla qualificazione dell’operazione. È pacifico, e confermato dalla stessa denuncia, che il bonifico è stato materialmente disposto ed eseguito per intero dalla ricorrente, la quale si è recata all’ATM e ha completato la transazione inserendo il codice OTP ricevuto sul proprio dispositivo. Da qui la conseguenza: secondo il consolidato orientamento dei Collegi ABF, l’operazione così eseguita è autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010.

Ne deriva l’inapplicabilità del regime di responsabilità per le operazioni non autorizzate e l’inutilità di verificare l’autenticazione ai sensi degli artt. 10 e seguenti del citato decreto. Il Collegio precisa che, per le operazioni compiute direttamente dal cliente, l’intermediario non deve provare l’autenticazione e non risponde a titolo oggettivo.

Resta aperta, sul piano del diritto comune, la possibilità di ravvisare una responsabilità concorrente del PSP quando dagli atti emerga un apporto causale dell’intermediario al danno. Il Collegio verifica allora le condizioni prospettate dalla ricorrente e le esclude tutte. La mancata disponibilità del numero verde non è provata: non vi è evidenza della chiamata né del suo esito, e le verifiche confermano che il numero era attivo nell’orario dell’operazione. Manca dunque il presupposto per imputare all’intermediario un contributo causale.

Neppure ricorrono le altre condizioni rilevanti: non risulta che la ricorrente si sia rivolta a un dipendente dell’intermediario che non abbia identificato la frode, né che sussistessero indici di anomalia dell’operazione tali da imporre il blocco automatico della transazione. Quanto alla doglianza sulla protezione dei dati personali, il Collegio la ritiene priva di supporto probatorio e comunque estranea alla propria competenza. Il ricorso è pertanto non accolto.