Frode telefonica con spoofing del numero bancario e responsabilità concorrente dell’intermediario (ABF Collegio di Roma n. 2482 del 18.03.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta per intero dal pagatore, che inserisca la disposizione e tutti i fattori di autenticazione, anche quando avvenga sotto dettatura del frodatore, è autorizzata e resta sottratta al regime di responsabilità della PSD2. La natura autorizzata dell’operazione non esclude però che la condotta del prestatore di servizi di pagamento sia scrutinata secondo le regole generali del diritto delle obbligazioni, sotto il profilo del corretto adempimento e della buona fede. Quando la frode si realizza mediante spoofing del numero telefonico riferibile all’intermediario, la messaggistica e la telefonia risultano modalità facilmente aggirabili e integrano un difetto organizzativo del prestatore. Ne consegue una responsabilità concorrente dell’intermediario, la cui quota è determinata in via equitativa ai sensi dell’art. 1226 c.c.

Il Fatto

Il ricorrente riceve sulla propria utenza una telefonata proveniente da un numero riconducibile al servizio clienti dell’intermediario. Il sedicente operatore gli chiede conferma di un sms relativo a un bonifico di € 1.418,60 realmente eseguito giorni prima e lo informa della necessità, secondo le nuove normative bancarie, di convertire il proprio IBAN tedesco in un IBAN italiano.

Richiamato poco dopo, il ricorrente viene guidato nella predisposizione di un bonifico di € 32.305,29 verso quello che gli viene presentato come il nuovo IBAN, sempre presso lo stesso intermediario. Solo dopo l’operazione si accorge che la causale riporta la dizione “cambio IBAN” e che il beneficiario è un soggetto a lui sconosciuto. La richiesta di revoca, avanzata pochi minuti dopo, non viene eseguita. Il ricorrente chiede quindi il rimborso della somma; l’intermediario eccepisce la corretta autenticazione e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio muove da una qualificazione netta: l’operazione è stata disposta per intero dal ricorrente, che ha inserito la disposizione e tutti i fattori di autenticazione. Essa va dunque considerata autorizzata e sottratta alla disciplina del d.lgs. n. 11/2010. Rientrano in questa fattispecie le operazioni eseguite seguendo le indicazioni del frodatore, le c.d. operazioni “sotto dettatura”, per le quali non è configurabile una responsabilità oggettiva del prestatore.

La circostanza è ammessa dallo stesso ricorrente nelle dichiarazioni contenute nella denuncia e nel ricorso. Per questa ragione il Collegio non ha proceduto alle verifiche richieste dalla normativa speciale, in particolare quella sulla strong customer authentication.

Esclusa la responsabilità oggettiva, il Collegio verifica se sussista in concreto un apporto causale dell’intermediario alla frode. La natura autorizzata dell’operazione non impedisce infatti di scrutinare la condotta del prestatore alla stregua del diritto comune delle obbligazioni, sotto il profilo del corretto adempimento e del principio di buona fede.

Il Collegio richiama il proprio orientamento sulle operazioni sotto dettatura: la responsabilità concorrente dell’intermediario è stata riconosciuta quando la frode è riconducibile allo spoofing e presenta elementi di sofisticazione. Il presupposto è che la messaggistica sms costituisca un difetto organizzativo del prestatore, trattandosi di modalità facilmente raggirabile attraverso la tecnica dell’sms spoofed.

Nel caso concreto la frode è partita da un numero telefonico riferibile all’intermediario, circostanza idonea a rassicurare il ricorrente sull’autenticità della comunicazione. Su queste basi il Collegio accoglie parzialmente il ricorso e determina equitativamente ai sensi dell’art. 1226 c.c. la quota di responsabilità dell’intermediario in € 12.000,00, oltre al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.