Frode via spoofing e vishing: prova SCA e colpa grave dell’utente (ABF Collegio di Torino n. 2192 del 11.03.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di servizi di pagamento, l’utilizzatore che neghi di aver autorizzato un’operazione non è tenuto a provare alcunché oltre al disconoscimento, poiché spetta all’intermediario dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti delle procedure. Ove l’intermediario fornisca la prova dell’autenticazione a più fattori (Strong Customer Authentication), l’onere si sposta sulla valutazione della condotta dell’utente. Integra colpa grave, con conseguente sopportazione integrale della perdita ai sensi dell’art. 12, comma 4, d.lgs. n. 11/2010, la condotta di chi dia seguito a un sms di incerta provenienza, dal contenuto scarsamente verosimile, e segua acriticamente le direttive di un sedicente operatore telefonico contattato tramite utenza mobile non riconducibile all’intermediario. La mancata allegazione del messaggio civetta determina di per sé il rigetto del ricorso, non consentendo di verificare la riconducibilità del mittente all’intermediario e l’affidamento dell’utente.

Il Fatto

Il ricorrente proponeva ricorso all’ABF dopo il rigetto del reclamo, contestando una transazione e-commerce di € 530,00 eseguita in data 16.10.2025, asseritamente compiuta in modo fraudolento contro la sua volontà. Sosteneva di non aver mai fornito il PIN di accesso, di non aver installato alcuna app e di aver ricevuto comunicazioni identiche a quelle dell’intermediario, lamentando falle nel sistema di gestione dei dati bancari.

L’intermediario eccepiva la colpa grave del cliente, che avrebbe rilasciato le credenziali di accesso all’home banking, e rappresentava che l’operazione era stata eseguita su sito “3d secured” e validata con codice OTP generato dal dispositivo in possesso del cliente. Precisava che la mail allegata al ricorso era la prima comunicazione genuina contenente il codice per l’attivazione del Mobile Token e chiedeva il rigetto.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). Richiama l’art. 5, secondo cui il consenso del pagatore è elemento necessario per la corretta esecuzione dell’operazione, e l’art. 10, che pone a carico dell’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione e dell’assenza di malfunzionamenti.

Nel caso concreto, l’intermediario ha prodotto le evidenze informatiche dell’avvenuta autenticazione con più fattori: per l’attivazione del Mobile Token, elemento di conoscenza (PIN) ed elemento di possesso (OTP via SMS); per l’accesso all’app e per l’operazione, PIN e OTP silente generato in App. La procedura è pertanto ritenuta conforme alla SCA, con richiamo alle Decisioni del Collegio di Torino n. 1137/2024 e n. 4653/2023.

Assolto l’onere probatorio dell’intermediario, il Collegio passa all’esame della condotta dell’utente, rispetto alla quale la resistente ha eccepito la colpa grave. Dalla documentazione emerge un fenomeno di spoofing e vishing: il ricorrente riferisce di aver ricevuto un sms riconducibile all’intermediario che lo informava di un presunto pagamento di € 985,00, di aver chiamato il numero indicato e di aver seguito le istruzioni di un sedicente operatore bancario.

Il Collegio rileva però che il documento indicato come messaggio civetta non corrisponde a quello da cui, secondo la denuncia, sarebbe scaturita la frode: non contiene alcuna menzione del presunto pagamento di € 985,00. Lo screenshot della chiamata proviene inoltre da un numero di cellulare non riconducibile all’intermediario, coincidente con quello indicato nella denuncia come contatto della chiamata truffaldina. La condotta del ricorrente è dunque connotata da colpa grave, per aver dato seguito a un sms di incerta provenienza e dal contenuto scarsamente verosimile e per aver seguito acriticamente le direttive di un sedicente operatore, con richiamo alle Decisioni del Collegio di Torino n. 5143/2022 e n. 7063/2022.

Il Collegio aggiunge che la mancata allegazione del messaggio civetta determina di per sé il rigetto, non consentendo di verificare la riconducibilità del mittente all’intermediario e il legittimo affidamento dell’utente, richiamando la Decisione del Collegio di Torino n. 1440/2024. Il ricorso è pertanto non accolto.