Spoofing e operazioni sotto dettatura: autenticazione esclude rimborso al cliente (ABF Collegio di Milano n. 1814 del 26.02.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, devono considerarsi autorizzate, anche quando il cliente agisca seguendo le indicazioni di un frodatore senza la consapevolezza di disporre una transazione. In tali fattispecie, riconducibili alle operazioni “sotto dettatura”, non opera il regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/UE e dal D. Lgs. n. 11/2010, e l’intermediario è esonerato dalla prova di autenticazione. Resta possibile una responsabilità concorrente del prestatore di servizi di pagamento secondo le norme di diritto comune, ove emerga un apporto causale alla frode. In caso di spoofing, il riparto di responsabilità va accertato caso per caso, senza automatismi, valutando la condotta di entrambe le parti.

Il Fatto

La ricorrente riferisce di aver ricevuto una telefonata apparentemente proveniente dal numero dell’intermediario, con la quale un sedicente operatore la informava di un tentativo di pagamento già bloccato. Su indicazione del chiamante, la cliente bloccava la carta, richiedeva un codice pin provvisorio e autorizzava un giroconto e alcuni bonifici che, secondo il frodatore, sarebbero stati stornati. Solo consultando l’estratto conto si avvedeva che il conto era stato svuotato.

Presentato reclamo, riscontrato negativamente, la ricorrente adiva l’ABF chiedendo la restituzione totale della somma sottratta, pari a € 22.090,00, o in subordine parziale. L’intermediario si difendeva sostenendo che le operazioni erano state autenticate tramite il servizio token attivato dalla cliente e che le notifiche push erano state inviate.

La motivazione del Collegio

Il Collegio muove dall’orientamento condiviso secondo cui, quando l’operazione è eseguita per intero dal pagatore — con inserimento della disposizione e di tutti i fattori di autenticazione o almeno di due fattori diversi — l’operazione deve considerarsi autorizzata. Non viene quindi in rilievo il regime di responsabilità per le operazioni non autorizzate, e non è necessario verificare la corretta autenticazione ai sensi degli artt. 10 ss. del D. Lgs. n. 11/2010.

Nel caso concreto, le evidenze documentali — tra cui la denuncia e i LOG prodotti — comprovano che entrambi i bonifici istantanei sono stati disposti, sia nella fase di accesso all’app che in quella dispositiva, dal dispositivo in possesso della cliente. Solo ad abundantiam il Collegio osserva che i LOG attestano la presenza della SCA, con la compresenza del fattore di inerenza (faceid) e di possesso (push).

Il Collegio ribadisce poi la possibilità di ravvisare una responsabilità concorrente del prestatore secondo il diritto comune, ma nel caso di specie non emergono gli indici tipici (indisponibilità del numero verde, mancata identificazione della frode da parte del dipendente, mancato rilievo di anomalie). Quanto allo spoofing, si richiama l’orientamento secondo cui la sua insidiosità impone una valutazione caso per caso della colpa grave del cliente.

La cliente, tuttavia, non ha prodotto alcuna evidenza sulla chiamata ricevuta, rendendo impossibile stabilire se essa fosse riconducibile all’intermediario e se la fattispecie integrasse un ID caller spoofing: lacuna dimostrativa che impedisce di ravvisare la colpa dell’intermediario. Quest’ultimo, dal canto suo, ha dimostrato la tempestività del recall, l’impossibilità di annullare bonifici istantanei, il rispetto dei limiti operativi, l’invio degli alert ai recapiti indicati dalla ricorrente. Il ricorso è pertanto rigettato.