Phishing via sms spoofed e obbligo di rimborso per operazioni non autorizzate (ABF Collegio di Roma n. 3288 del 14.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento è tenuto a provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti. Solo dopo tale prova può essere affermata la colpa grave dell’utilizzatore. Nelle frodi cd. sofisticate, realizzate mediante sms spoofed che riproducono il mittente dell’intermediario e si inseriscono nella chat contenente messaggi genuini, non è di regola ravvisabile la colpa grave del cliente, salvo che il messaggio civetta presenti indici di evidente inattendibilità. All’intermediario è inoltre riconducibile un obbligo di protezione che, in presenza di operazioni ictu oculi anomale e contrarie all’interesse del cliente, impone di rifiutarne l’esecuzione o di informarlo.

Il Fatto

Il ricorrente ha disconosciuto ventiquattro operazioni compiute tra il 13 e il 14 aprile 2025, tra cui un bonifico di euro 12.000,00, contestando di non averle mai autorizzate. La vicenda prende avvio da sms apparentemente provenienti dalla banca, contenenti un link per aggiornare la App: il cliente ha contattato il servizio clienti, ricevendo conferma della necessità di procedere alla configurazione.

L’intermediario, costituendosi, ha sostenuto che la nuova App era stata installata sul dispositivo del frodatore mediante inserimento di codice cliente, data di nascita, PIN e OTP inviato sul cellulare del cliente, con conseguente cooperazione colpevole dello stesso. La banca ha rimborsato euro 4.206,41, contestando la sola residua operazione di euro 12.000,00.

La motivazione del Collegio

Il Collegio richiama la disciplina del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, che configura un regime probatorio di favore per l’utente, ispirato al principio del rischio d’impresa. L’art. 10 del d.lgs. 11/2010 impone al prestatore di servizi di pagamento una sequenza graduata: provare l’autenticazione dell’operazione e, in via successiva, la colpa grave dell’utilizzatore. La prova dell’autenticazione costituisce antecedente logico rispetto alla prova della colpa.

Nel merito, i messaggi truffaldini risultano inseriti in una chat riferibile all’intermediario, contenente messaggi genuini, privi di errori grammaticali e con riferimenti alla banca. La chiamata al servizio clienti dell’11.04.2025 non consente di individuare il mittente. Il Collegio qualifica l’ipotesi come smishing riconducibile alle frodi sofisticate, per le quali non è in genere ravvisabile la colpa grave del cliente.

Il Collegio valorizza inoltre l’anomalia delle ventiquattro operazioni complessive. Richiamando la giurisprudenza della Cassazione civile, Sezione I, n. 30588 del 03.11.2023 e Cass. n. 7956 del 31.03.2010, ribadisce che, pur in assenza di un dovere generale di monitoraggio, in presenza di circostanze anomale idonee a ledere l’interesse del correntista la banca deve rifiutare l’esecuzione o informare il cliente. L’obbligo di protezione si attiva alla ricorrenza cumulativa di operazione ictu oculi anomala e contraria all’interesse del cliente.

Da tali considerazioni deriva l’accoglimento del ricorso. Il Collegio dispone che l’intermediario corrisponda al ricorrente la somma di euro 8.392,82, oltre al contributo di euro 200,00 alle spese della procedura e al rimborso di euro 20,00.