Phishing bancario e ID caller spoofing (ABF Collegio di Milano n. 1978 del 05.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la disciplina del d. lgs. n. 11/2010 e della PSD2 impone al prestatore di servizi di pagamento di provare che l’operazione sia stata autenticata, registrata e contabilizzata con strong customer authentication. Ove tale prova sia raggiunta, resta da verificare se il cliente abbia agito con colpa grave, con conseguente esclusione del diritto al rimborso. La fattispecie del phishing e dell’ID caller spoofing non esime il cliente dall’onere di documentare le circostanze poste a fondamento del disconoscimento, né consente di qualificare come non autorizzata l’operazione quando questi abbia condiviso le credenziali e modificato i limiti operativi in modalità conforme a SCA.

Il Fatto

Il ricorrente riferiva di aver ricevuto un sms apparentemente proveniente dall’intermediario, con il quale gli veniva comunicata una richiesta di autorizzazione di una spesa di € 4.997,00. Contattato il numero verde indicato nel messaggio, un sedicente operatore lo rassicurava circa il blocco dell’operazione e lo guidava in una procedura di storno. Nei giorni successivi riceveva ulteriori telefonate da un’utenza mobile.

Recatosi in filiale, apprendeva che dal conto erano stati eseguiti cinque bonifici per € 23.101,20, con superamento del massimale giornaliero. Disconosceva le operazioni e chiedeva il rimborso, sostenendo la falsificazione dei sistemi di comunicazione dell’istituto e l’inadeguatezza delle misure di sicurezza. L’intermediario, costituitosi, deduceva la regolarità formale delle operazioni, l’assenza di accessi sospetti e la riconducibilità della vicenda a spoofing, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento, richiamando il d. lgs. n. 11/2010 come modificato dal d. lgs. n. 218/2017, gli artt. 97 e 98 della direttiva PSD2 e l’art. 10-bis d. lgs. n. 11/2010, unitamente al Regolamento Delegato Ue 2018/389. La SCA richiede due fattori indipendenti tra conoscenza, inerenza e possesso, e la sua violazione comporta il regime di responsabilità del prestatore.

Passando all’esame del caso, il Collegio osserva che i log documentano l’autenticazione tramite PIN e token fisico, con accesso dal medesimo indirizzo IP. Sebbene non risulti chiara la riferibilità del token al cliente, le dichiarazioni dello stesso circa la condivisione delle credenziali inducono a ritenere rispettata la SCA sia in fase di login sia in fase dispositiva, anche mediante il sistema di controllo aggiuntivo.

Verificata l’autenticazione, il Collegio esamina la colpa grave del ricorrente. La vicenda presenta i tratti dell’ID caller spoofing, che conserva carattere di insidiosità. Tuttavia il cliente non ha prodotto alcuna evidenza delle chiamate ricevute, né è possibile stabilire se la chiamata provenisse dall’intermediario; la denuncia, inoltre, indica un numero mobile non riconducibile alla banca.

Sul superamento dei massimali, il Collegio rileva che il limite giornaliero era fissato a € 10.000,00, ma che in data 7.8.2025, prima della terza operazione disconosciuta, è stata autorizzata una modifica dei limiti a € 20.000,00 in modalità conforme a SCA, mediante PIN e token.

Il ricorso, pertanto, non è accolto.