ID caller spoofing e colpa grave dell’utente (ABF Collegio di Milano n. 5089 del 04.06.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento, la disciplina di protezione del D.lgs. n. 11/2010 e della PSD2 resta applicabile anche quando il bonifico sia materialmente disposto dal cliente su istruzione di un frodatore, ove la documentazione non consenta di affermare la natura pienamente autorizzata dell’operazione. Accertata dall’intermediario la strong customer authentication, la registrazione e la contabilizzazione del pagamento, la responsabilità va ripartita tra intermediario e utilizzatore quando la tecnica fraudolenta, sebbene insidiosa perché riconducibile all’ID caller spoofing, presenti indici di non autenticità riconoscibili e l’utente abbia attivamente cooperato, sia pure inconsapevolmente, alla frode: in tal caso sussiste colpa grave dell’utente e il danno è posto a carico di ciascuno per il 50%.

Il Fatto

Il ricorrente riferisce di aver ricevuto una telefonata da un numero fisso riconducibile alla filiale dell’intermediario. Il sedicente operatore lo informava di pagamenti non autorizzati per € 4.500,00 e lo invitava a seguire una procedura di rimborso, con disinstallazione e reinstallazione dell’app di mobile banking. Nel frattempo riceveva SMS, uno dei quali con numero mittente alterato (una «O» al posto dello «0»), che annunciavano la sospensione dell’operazione. Insospettitosi, il cliente non comunicava i codici richiesti e contattava la filiale, apprendendo che era stato disposto un bonifico di € 4.500,00 dal suo conto.

Chiesta invano la revoca, presentava denuncia e reclamo. L’intermediario respingeva la richiesta di rimborso sostenendo che l’operazione era stata eseguita dal cliente e correttamente autenticata. Il ricorrente agiva quindi davanti all’ABF, chiedendo il rimborso integrale e, in subordine, il risarcimento del danno.

La motivazione del Collegio

Il Collegio disattende l’eccezione dell’intermediario secondo cui il bonifico, disposto dal cliente su istruzione di un frodatore, sarebbe integralmente autorizzato e sottratto al regime di protezione. La denuncia contiene un’espressione generica («eseguito le operazioni richiest[e] dall’operatore») dalla quale non si evince se il cliente abbia compiuto in piena autonomia tutti i passaggi dispositivi. Richiamando l’orientamento consolidato dei Collegi, il Collegio afferma che solo l’operazione eseguita per intero dal pagatore, con pieno controllo della fase dispositiva e autorizzativa, è autorizzata e sottratta alla PSD2.

Passando alla prova, ai sensi dell’art. 10 del D.lgs. n. 11/2010 è onere dell’intermediario dimostrare l’avvenuta autenticazione, registrazione e contabilizzazione. Le evidenze informatiche mostrano l’accesso all’app dal device abituale del cliente pochi minuti prima del bonifico, con PIN e biometria, e l’autorizzazione del pagamento mediante fattore biometrico e possesso del medesimo apparecchio certificato. L’onere probatorio è quindi assolto, alla luce degli artt. 97 e 98 della PSD2 e del Regolamento Delegato UE 2018/389.

Accertata la strong customer authentication, il Collegio valuta la condotta dell’utilizzatore ai sensi dell’art. 12 del D.lgs. n. 11/2010. La truffa è qualificata come ID caller spoofing, tecnica più insidiosa del comune phishing. Tuttavia non basta la sofisticazione per escludere la colpa grave: rilevano la sostituzione della lettera «O» alla cifra «0», l’assenza di punteggiatura, la formulazione grossolana degli SMS, la provenienza da un’utenza cellulare estranea all’intermediario e la cooperazione attiva, sia pure inconsapevole, alla frode.

Sono respinte le ulteriori censure. Quanto all’antiriciclaggio, manca la prova di un nesso causale tra la violazione degli obblighi di adeguata verifica e il danno, fuori dall’ipotesi del furto di identità. Quanto alla revoca, per i bonifici «banca su banca» l’art. 23, comma 2, del D.lgs. n. 11/2010 impone l’accredito nella stessa giornata operativa e il pagamento non è annullabile. Infine, gli indici di anomalia dedotti non assumono rilievo autonomo, essendo insufficiente l’estratto conto prodotto.

Il Collegio accoglie quindi parzialmente il ricorso, riconoscendo la metà della somma sottratta, pari a € 2.250,00, oltre al rimborso di € 20,00 per le spese di presentazione.