Phishing telefonico e bonifici disposti dal cliente (ABF Collegio di Roma n. 1054 del 05.02.2026)

Principi di diritto (Massima)
Quando il pagatore esegue materialmente l’operazione di pagamento online, anche se indotto da un sedicente operatore dell’intermediario, l’operazione deve considerarsi autorizzata e non ricade nel regime di responsabilità previsto dalla PSD2 per le operazioni non autorizzate. Il sistema di autenticazione forte basato su due password statiche e su una password dinamica OTP generata da APP o ricevuta via SMS è conforme alla strong customer authentication. Non è configurabile una responsabilità oggettiva del prestatore di servizi di pagamento; il Collegio può tuttavia rilevare una responsabilità concorrente del PSP, secondo le norme di diritto comune, solo quando dalla documentazione emerge in concreto un apporto causale dell’intermediario alla frode. Il cliente che dia seguito a una comunicazione di phishing telefonico è vittima di colpevole credulità, salvo che provi la riconducibilità del numero chiamante all’intermediario.

Il Fatto

Il ricorrente riceveva una telefonata da un sedicente operatore del servizio antifrode dell’intermediario. Indotto a entrare nella propria area personale e a disporre alcune operazioni di pagamento, il cliente concludeva la telefonata e contattava la filiale, che lo avvertiva di essere probabilmente vittima di una truffa. Alcune disposizioni venivano bloccate dall’addetto di filiale; due bonifici istantanei di € 2.000,00 cadauno, per un totale di € 4.000,00, non potevano essere annullati.

Il reclamo all’intermediario veniva respinto. Il ricorrente adiva quindi l’ABF chiedendo il rimborso, invocando l’art. 2050 c.c. e lamentando l’assenza di alert e la mancata prova del rispetto del plafond giornaliero. L’intermediario eccepiva che le operazioni erano state materialmente poste in essere dal cliente con autenticazione SCA compliant, che il recall non era andato a buon fine per mancata autorizzazione dell’istituto di radicamento e che i bonifici erano stati disposti in favore del ricorrente medesimo.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile. Le operazioni, eseguite il 13 marzo 2025, sono successive all’entrata in vigore della direttiva 2015/2366/UE e del regolamento delegato (UE) n. 2018/389, applicabile dal 14.09.2019. Di conseguenza trovano applicazione le misure di sicurezza del d.lgs. n. 11/2010, come modificate dal d.lgs. n. 218/2017, compreso l’art. 10-bis sull’autenticazione forte.

Il Collegio richiama la definizione di autenticazione forte contenuta nell’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010 e l’Opinion EBA del 21 giugno 2019, che chiarisce come l’OTP via SMS integri un elemento di possesso idoneo, mentre i dati stampati sulla carta non costituiscano valido elemento di autenticazione. Nel caso concreto, l’accesso all’area personale richiede due password statiche e una password dinamica OTP generata da APP o ricevuta via SMS su numero certificato: sistema già ritenuto conforme alla SCA dal Collegio di Roma (3017/2023).

Il punto centrale è però un altro. Poiché le operazioni sono state disposte per intero dal pagatore, l’orientamento unanime dei Collegi le considera autorizzate e sottratte al regime PSD2 sulle operazioni non autorizzate. Non è pertanto configurabile una responsabilità oggettiva del PSP. Il Collegio ammette la possibilità di una responsabilità concorrente dell’intermediario secondo il diritto comune, ma solo se dalla documentazione emerge un concreto apporto causale alla frode.

Qui l’apporto causale non è provato. Il ricorrente, invitato a produrre le schermate del registro chiamate del giorno della truffa, non ha fornito riscontro. La telefonata proveniva da un numero della cui riconducibilità all’intermediario non è stata data evidenza. Il Collegio richiama la decisione n. 3498/2012 del Collegio di Coordinamento: chi dà seguito a una comunicazione di phishing è vittima di colpevole credulità, trattandosi di forme di accalappiamento ormai note. La domanda viene così respinta.