Frode sotto dettatura autorizzata dal cliente: nessun concorso di colpa della banca (ABF Collegio di Milano n. 1689 del 24.02.2026)

Principi di diritto (Massima)
Nel caso di social hacking o frode c.d. sotto dettatura, in cui il cliente disponga personalmente l’ordine di bonifico presso lo sportello impartendo le istruzioni e completando l’autenticazione, l’operazione deve ritenersi autorizzata ai sensi degli artt. 10 e 11 del D.Lgs. n. 11/2010, ancorché il consenso sia viziato dal raggiro. Resta salva la verifica del concorso di colpa dell’intermediario sul piano della responsabilità contrattuale ex art. 1218 c.c., ma il dovere di diligenza dell’operatore di sportello non si estende al sindacato nel merito delle scelte dispositive del correntista, salvo anomalie palesi. La condotta del cliente connotata da negligenza grave e tale da costituire causa esclusiva del danno interrompe il nesso causale anche rispetto all’eventuale custodia dei dati personali.

Il Fatto

Il ricorrente riferisce di essere stato contattato il 06/08/2025 da sedicenti operatori del servizio clienti dell’intermediario e, poi, da un’utenza riconducibile al Comando dei Carabinieri di Busto Arsizio. I truffatori, a conoscenza di suoi dati sensibili, lo informavano di un presunto bonifico fraudolento di € 14.000,00 e lo inducevano a recarsi in filiale per disporre un’operazione urgente di “storno”. Rimasto in contatto telefonico con i sedicenti operatori, il cliente disponeva un bonifico di € 14.900,00 verso un IBAN indicatogli. Solo successivamente si avvedeva del raggiro.

Il ricorrente addebita all’intermediario un concorso di colpa per negligenza nella custodia dei dati personali e per non aver garantito la sicurezza dei canali di comunicazione, chiedendo la restituzione della somma o, in subordine, il riconoscimento di un concorso di colpa al 50%. L’intermediario si costituisce eccependo l’inapplicabilità della disciplina sulle operazioni non autorizzate, poiché l’ordine sarebbe stato impartito personalmente dal cliente allo sportello, e imputa l’accaduto alla condotta gravemente colposa del ricorrente, negando profili di responsabilità da intrusione nei propri sistemi.

La motivazione del Collegio

Il Collegio muove da un dato pacifico e documentalmente provato: l’operazione di € 14.900,00 è stata disposta personalmente dal ricorrente il 06/08/2025, presso uno sportello fisico, con indicazione autonoma dell’IBAN e della causale. Su questa base esclude l’applicazione del regime di responsabilità del prestatore di servizi di pagamento per le operazioni non autorizzate di cui agli artt. 10 e 11 del D.Lgs. n. 11/2010.

Il Collegio richiama il consolidato orientamento dei Collegi ABF: l’operazione è “autorizzata” quando è il cliente stesso a porla in essere, impartendo l’ordine e completando il processo di autenticazione, sebbene il consenso possa essere viziato dal raggiro. In tali fattispecie, qualificabili come social hacking o frodi “sotto dettatura”, l’onere probatorio dell’intermediario circa l’autenticazione e la corretta esecuzione è assolto, perché è l’utente ad aver avviato materialmente e volontariamente la transazione.

Il Collegio verifica comunque, sul piano dei principi di diritto comune, la sussistenza di un concorso di colpa dell’intermediario ex art. 1218 c.c. e del dovere di diligenza professionale, tenuto conto dell’obbligo di protezione e di adozione di misure idonee a prevenire e riconoscere attività fraudolente. Ritiene tuttavia che non emergano elementi sufficienti per configurare una responsabilità, neppure concorrente: la condotta del ricorrente assume rilievo di causa esclusiva del danno.

Il Collegio individua i numerosi indici di anomalia: la richiesta intrinsecamente illogica di un bonifico per “bloccare” un’altra operazione, posto che le procedure di blocco o storno seguono canali interni; l’istruzione di restare in linea durante tutta l’operazione in filiale, tecnica tipica del social engineering; l’IBAN sconosciuto, acceso presso altro istituto; il lasso di tempo tra la prima chiamata (ore 11:24) e l’esecuzione (ore 12:08), utile per contattare autonomamente banca o pubblica autorità tramite canali verificati.

Quanto al dovere dell’operatore di sportello, il Collegio precisa che esso consiste nel verificare l’identità del disponente e la coerenza formale dell’operazione, senza estendersi al sindacato nel merito delle scelte del cliente, salvo anomalie palesi e inequivocabili. L’attiva collaborazione del ricorrente ha reso l’operazione verosimile. La doglianza sulla custodia dei dati personali, astrattamente rilevante, non è provata e il nesso causale risulta comunque interrotto dalla condotta gravemente colposa del cliente. Il ricorso è pertanto rigettato.