Phishing con call ID spoofing e colpa grave dell’utente: rimborso parziale equitativo (ABF Collegio di Bari n. 530 del 21.01.2026)

Principi di diritto (Massima)
In materia di utilizzo fraudolento di strumenti di pagamento, il rischio ricade in prima battuta sull’intermediario, che può sottrarsi al rimborso solo provando il dolo o la colpa grave dell’utilizzatore. La prova della regolarità formale dell’autenticazione forte non è di per sé sufficiente: occorre indicare gli elementi di fatto delle modalità esecutive dell’operazione, dai quali desumere in via presuntiva la colpa grave. Quando la truffa si realizza con call ID spoofing, ossia con falso numero chiamante riconducibile all’intermediario, la colpa grave dell’utente non esclude il rimborso, che può essere riconosciuto in misura equitativa per il difetto organizzativo del servizio.

Il Fatto

La ricorrente riferisce di essere stata vittima di una truffa di tipo phishing e di aver subito la sottrazione di € 2.630,00 mediante un’operazione di pagamento online eseguita sulla propria carta di debito. Lamenta il diniego opposto dall’intermediario alla richiesta di rimborso e propone ricorso all’ABF.

L’intermediario si costituisce e sostiene la regolarità del sistema: l’operazione del 28 luglio 2025 sarebbe stata autorizzata tramite App con autenticazione forte, previa modifica dei massimali della carta disposta dalla stessa cliente. Addebita alla ricorrente una condotta di colpevole credulità e richiama l’orientamento secondo cui, in assenza di allegazioni sulle circostanze della frode e a fronte della prova di autenticazione, la colpa grave si presume.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e il Regolamento Delegato (UE) n. 2018/389 in materia di autenticazione forte. Il rischio di utilizzazione fraudolenta grava sull’intermediario, che può liberarsi fornendo la prova del dolo o della colpa grave dell’utilizzatore, ai sensi degli artt. 7 e 12, comma 4, d.lgs. n. 11/2010.

Richiamato l’art. 10 del medesimo decreto, il Collegio osserva che l’utilizzo di uno strumento registrato non dimostra di per sé l’autorizzazione dell’operazione. La produzione documentale sull’autenticazione e sulla formale regolarità non soddisfa l’onere probatorio: l’intermediario deve indicare gli elementi di fatto delle modalità esecutive, dai quali trarre in via presuntiva la prova della colpa grave. Sul punto richiama il Collegio di Coordinamento, decisione n. 22745/2019 e le decisioni n. 3947/2014.

Nel caso concreto, l’operazione è stata preceduta dalla modifica dei massimali della carta, pacificamente disposta dalla ricorrente seguendo le indicazioni del sedicente operatore; l’intermediario ha prodotto i log attestanti l’esecuzione con SCA della variazione. Quanto all’operazione contestata, i log corredati di legenda, il protocollo 3DSecure e l’inserimento del codice in seguito a notifica push in App risultano complessivamente idonei a provare il corretto svolgimento delle procedure di autenticazione, registrazione e contabilizzazione, in continuità con il Collegio di Bari, decisione n. 224/2025.

Il Collegio passa quindi a valutare il dolo o la colpa grave. Ritiene innegabile la colpa grave della ricorrente, che si è fidata del sedicente operatore e ne ha seguito tutte le indicazioni, modificando i massimali della carta. Rileva tuttavia che la telefonata sembrava provenire da un numero coincidente con quello di una filiale dell’intermediario, per effetto di una truffa con falso numero chiamante, nota come call ID spoofing.

Alla luce del quadro complessivo, il Collegio reputa che la truffa, piuttosto insidiosa, faccia presumere un difetto nell’organizzazione del servizio offerto dall’intermediario, essendo il numero dei truffatori comunque riconducibile a quest’ultimo. La domanda trova pertanto parziale accoglimento, nella misura equitativa di € 800,00, con condanna dell’intermediario al contributo alle spese della procedura e al rimborso della somma versata dalla ricorrente.