Operazioni “sotto dettatura” e frode telefonica: onere della prova e autenticazione forte (ABF Collegio di Roma n. 4667 del 25.05.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione forte, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Rientrano in questa fattispecie le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, le c.d. operazioni “sotto dettatura”. In tali casi non è configurabile una responsabilità oggettiva del prestatore di servizi di pagamento, ma resta possibile una responsabilità concorrente secondo le norme di diritto comune quando emerga un apporto causale dell’intermediario. Nelle frodi tramite sms spoofing non è di regola ravvisabile la colpa grave del cliente, salvo indici di inattendibilità del messaggio; nel vishing la comunicazione telefonica dei codici dispositivi costituisce invece indice di colpa grave della vittima. Chi non produce l’evidenza dell’SMS di adescamento non consente la verifica dell’affidamento ingenerato e il ricorso non può essere accolto.

Il Fatto

Il ricorrente, correntista, riceve il 13 marzo 2025 un SMS apparentemente proveniente dalla propria banca, che lo avverte di una frode in corso e lo invita a contattare un numero indicato nel messaggio. Richiamata l’utenza, un sedicente operatore gli conferma la frode e lo guida, anche attraverso una videochiamata, fino a una successiva chiamata pomeridiana.

In quella sede il frodatore lo induce a trasferire i risparmi su un conto “sicuro”: il ricorrente svincola il conto deposito e dispone un bonifico di euro 17.000,00. Poco dopo comprende di essere stato vittima di una truffa e chiede il rimborso, lamentando la mancata attivazione di sistemi di alert e il supporto inadeguato della chatbot. L’intermediario resiste, eccependo l’autorizzazione delle operazioni e l’assenza di spoofing.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro applicabile ratione temporis. L’operazione è successiva all’entrata in vigore del d.lgs. n. 218/2017 e al regolamento delegato (UE) n. 2018/389, con la conseguenza che le misure di sicurezza del d.lgs. n. 11/2010 sono efficaci dal 14 settembre 2019 e si applicano alla vicenda. La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando manchi un sistema di autenticazione forte.

La strong customer authentication è definita dall’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010 come autenticazione basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza. Il Collegio richiama l’Opinion EBA del 21 giugno 2019, che esclude la validità dei dati stampati sulla carta e ammette l’OTP via SMS come elemento di possesso.

Dalla documentazione dell’intermediario emerge che le operazioni sono state disposte dal device registrato del ricorrente, con token attivo dal 2022, mediante codice cliente, data di nascita e PIN, e con autorizzazione push validata tramite OTP. Sia il giroconto sia il bonifico risultano quindi coperti da un sistema a due fattori conforme alla normativa. Il ricorrente, del resto, ammette di aver eseguito personalmente il bonifico.

Il Collegio richiama l’orientamento condiviso secondo cui l’operazione eseguita per intero dal pagatore è autorizzata e non è soggetta al regime PSD2, salvo una responsabilità concorrente del prestatore quando emerga un apporto causale, ad esempio per indisponibilità del numero verde, mancata identificazione della frode da parte del dipendente o mancato rilievo di indici di frode.

Sul tipo di frode, il Collegio distingue tra metodi tradizionali e meccanismi subdoli, richiamando il Collegio di Coordinamento n. 22745/2019: lo sms spoofing è frode sofisticata, con criticità organizzative del servizio, ma la presenza di indici di inattendibilità del messaggio può fondare un concorso di colpa. Nel caso concreto manca però la prova degli SMS e delle telefonate: i numeri indicati nella denuncia non risultano riconducibili all’intermediario e il messaggio proveniva da un’utenza mobile. Non è quindi verificabile l’affidamento ingenerato dai messaggi genuini. Il ricorso è pertanto respinto.