Frode da vishing e bonifico disposto sotto dettatura (ABF Collegio di Bologna n. 1519 del 19.02.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente l’operazione, inserendo la disposizione di pagamento e tutti i fattori di autenticazione sul proprio dispositivo, il bonifico deve considerarsi autorizzato ai sensi della disciplina dei servizi di pagamento e non è soggetto al regime di responsabilità del prestatore di servizi di pagamento (PSP). In tale ipotesi non è configurabile una responsabilità oggettiva dell’intermediario, restando possibile una responsabilità concorrente solo se dalla documentazione emerga un concreto apporto causale del PSP alla frode. Chi comunica le proprie credenziali a estranei e ne segue pedissequamente le istruzioni risponde a titolo di colpa grave, e un comportamento improntato alla diligenza media sarebbe stato sufficiente a evitare gli effetti della truffa, indipendentemente dall’età e dalla dimestichezza tecnologica del cliente. Il fatto di disporre per la prima volta un bonifico istantaneo di importo rilevante verso un nuovo beneficiario non integra di per sé un indice di anomalia che imponga all’intermediario un controllo preventivo.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 29/04/2025 un sms fraudolento che, simulando una comunicazione dell’intermediario, lo invitava a contattare un numero telefonico per bloccare una presunta operazione anomala. Contattato quel numero, il ricorrente interloquiva con un sedicente operatore che, con il pretesto di attivare una procedura di sicurezza, lo induceva a compiere operazioni sul proprio dispositivo. Pochi istanti dopo si avvedeva di aver autorizzato, contro la propria effettiva volontà, un bonifico istantaneo di € 1.900,00 verso un beneficiario sconosciuto.

Il ricorrente chiedeva quindi il blocco degli strumenti di pagamento, sporgeva denuncia e, in data 20/06/2025, inoltrava formale reclamo chiedendo il rimborso. L’intermediario eccepiva l’inapplicabilità della normativa sui servizi di pagamento, essendo l’operazione autenticata tramite il device abituale, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. Dalla denuncia e dalle repliche del ricorrente emerge che quest’ultimo ha compiuto personalmente la disposizione «sotto dettatura» con il proprio device, fornendo al truffatore tutte le informazioni richieste. La documentazione dell’intermediario conferma che il bonifico è stato disposto tramite l’app installata sul dispositivo già usato in precedenti occasioni.

Su questa base il Collegio applica l’orientamento condiviso: quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Resta possibile una responsabilità concorrente del PSP, secondo le norme di diritto comune, quando la documentazione dimostri un apporto causale dell’intermediario alla frode: il Collegio richiama, a titolo esemplificativo, l’indisponibilità del numero verde, la mancata identificazione del tentativo di frode da parte del dipendente o il mancato rilievo di indici di frode.

Passando alla condotta delle parti, il Collegio rileva che non risulta provato lo spoofing: non è versata in atti evidenza dell’sms né della chiamata truffaldina. L’orientamento consolidato dei Collegi (richiamati il Collegio di Bologna n. 14643/2019 e il Collegio di Bologna n. 3082/2025) ritiene che nei casi di smishing e vishing l’impiego di una diligenza media sia sufficiente a scongiurare la truffa. Sussistono pertanto gli estremi della colpa grave in capo all’utente che comunica le credenziali e collabora attivamente con gli estranei.

Quanto all’intermediario, il Collegio esclude fatti fondativi di una responsabilità, anche solo concorrente. L’intermediario ha provato l’invio dell’sms alert e il tentativo di recall del 30/04/2025, non andato a buon fine. Non ricorrono gli indicatori di anomalia del D.M. n. 112 del 2007: la prima disposizione di un bonifico istantaneo di importo rilevante non integra di per sé un indice di anomalia, e due successivi bonifici sono stati invece bloccati con l’invio degli alert al cellulare certificato. Il ricorso è pertanto non accolto.