Phishing con caller id spoofing e colpa grave del cliente (ABF Collegio di Bologna n. 4264 del 12.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, grava sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10, d.lgs. n. 11/2010. Fornita tale prova, il rischio della frode resta a carico dell’intermediario, salvo che questi dimostri il dolo o la colpa grave dell’utilizzatore ex art. 7 del medesimo decreto. La prova della colpa grave può essere data anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ai sensi dell’art. 2729 c.c. Nelle frodi realizzate mediante caller id spoofing, l’insidiosità della tecnica impone una valutazione caso per caso: la condotta del cliente che, ingannato dal numero apparentemente riconducibile all’intermediario, collabori all’aggiornamento dell’applicazione è colposa ma non gravemente negligente, con conseguente integrale addebito delle perdite al prestatore di servizi di pagamento.

Il Fatto

La ricorrente, titolare di un conto corrente con servizio di home banking, il 23 aprile 2025 riceveva sul cellulare una telefonata da un numero corrispondente al centralino dell’intermediario e già memorizzato in rubrica. Un sedicente operatore le chiedeva di aggiornare alcuni dati dell’applicazione bancaria. La cliente seguiva le istruzioni, aprendo un link e modificando le impostazioni del proprio account di posta per condividere l’applicazione.

Il giorno successivo, richiamata dallo stesso numero, si insospettiva quando le venivano chiesti i dati della carta di debito e contattava direttamente l’intermediario. Il servizio antifrode le confermava l’esecuzione di due bonifici, di € 9.460,00 e € 6.700,00, verso soggetti sconosciuti. La richiesta di rimborso veniva respinta per asserita colpa grave. La cliente adiva quindi l’Arbitro Bancario Finanziario.

La motivazione del Collegio

L’intermediario deduceva che le operazioni erano state regolarmente autenticate tramite SCA con Mobile Token e codice OTP, che il sistema aveva inviato SMS alert e notifiche push, e che il recall dei bonifici era tardivo rispetto al cut-off. Sosteneva inoltre la colpa grave della cliente, che non si era insospettita nonostante l’app fosse “sparita” e che avrebbe dovuto sapere che una banca riceve e non effettua telefonate dal numero verde.

Il Collegio richiama il quadro della PSD2: l’art. 10 del d.lgs. n. 11/2010 pone sull’intermediario la prova dell’autenticazione e della corretta registrazione dell’operazione; solo una volta assolta tale prova si valuta la colpa grave dell’utilizzatore, altrimenti il rischio resta a carico del prestatore ai sensi dell’art. 12. Nel caso concreto i log documentavano l’inserimento del PIN e del codice OTP, sicché il thema probandum si spostava sulla condotta della cliente.

Il Collegio ricorda che la colpa grave può essere provata anche per presunzioni, secondo l’insegnamento di Cass. civ., Sez. II, n. 654 del 2010, ma gli indizi devono essere gravi, precisi e concordanti ex art. 2729 c.c. Quanto alla tecnica del caller id spoofing, l’orientamento condiviso, richiamato anche da Collegio di Bologna n. 4457/2024, esclude o attenua la colpa grave in ragione dell’insidiosità della frode.

Nel caso di specie la truffa si discosta dal vishing classico. Nella prima fase alla cliente non furono chieste credenziali né disposizioni, ma solo di collaborare all’aggiornamento dell’app: la manipolazione del dispositivo rendeva verosimilmente invisibili anche notifiche e SMS. La pronta reazione alla seconda chiamata, con immediato contatto dell’intermediario, dimostra anzi una diligenza che ha impedito ulteriori perdite. La condotta è dunque colposa ma non gravemente negligente, con integrale addebito delle operazioni al PSP.