Phishing e vishing: colpa grave dell’utente che installa l’app di controllo remoto (ABF Collegio di Roma n. 1367 del 16.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento a distanza il prestatore di servizi di pagamento risponde della perdita solo se non ha adottato un sistema di autenticazione forte del cliente (SCA). Ai sensi dell’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010, l’autenticazione è forte quando si basa su due o più elementi indipendenti tra conoscenza, possesso e inerenza. La digitazione del PIN in ambiente app token integra gli elementi di conoscenza e di possesso e soddisfa il requisito normativo. Il cliente che, su indicazione telefonica di un sedicente operatore, installi un software che consente al frodatore il controllo remoto dello smartphone e la disposizione di bonifici versa in colpa grave, con conseguente rigetto della domanda di retrocessione.

Il Fatto

Il ricorrente espone di aver ricevuto, il 24.03.2025, una telefonata da un interlocutore apparentemente riconducibile al proprio intermediario. Il sedicente operatore, adducendo attacchi informatici in corso, lo induceva a installare sul telefono un presunto antivirus per tutelare la sicurezza del conto. Al termine della conversazione il ricorrente si accorgeva che l’app bancaria era stata disinstallata e apprendeva, chiamando il numero verde, di essere stato vittima di una truffa nel cui ambito era stato disposto un bonifico di 23.900,00 €.

Il ricorrente chiede la retrocessione della somma, sostenendo che la telefonata proveniva dal numero verde dell’intermediario, di non aver comunicato alcun codice, di non aver ricevuto SMS alert e che l’operazione, anomala rispetto al profilo di spesa, avrebbe dovuto essere bloccata. L’intermediario eccepisce la carenza di preventivo reclamo, invoca la colpa grave dell’utente e documenta l’invio dell’alert.

La motivazione del Collegio

Il Collegio respinge l’eccezione di inammissibilità per carenza di reclamo: il ricorrente produce la PEC del 29.03.2025 inviata alla casella dell’intermediario. Nel merito, l’operazione è successiva all’entrata in vigore del d.lgs. n. 218/2017 e del Regolamento Delegato (UE) n. 2018/389, applicabile dal 14.09.2019; trovano quindi applicazione le norme del d.lgs. n. 11/2010 in materia di misure di sicurezza.

La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non sia predisposta un’autenticazione forte. Il Collegio richiama l’art. 10-bis e l’art. 12, comma 2-bis, d.lgs. n. 11/2010, che escludono ogni perdita a carico del pagatore se il prestatore non esige la SCA, salvo il caso di condotta fraudolenta del pagatore.

Dai log prodotti dal resistente risulta che l’accesso all’home banking e la disposizione del bonifico sono avvenuti tramite digitazione del numero cliente e del PIN all’interno dell’app token. La procedura possiede quindi almeno due dei tre elementi previsti e risponde ai requisiti della Strong Customer Authentication, secondo l’Opinion dell’EBA del 21 giugno 2019. Quanto all’alert, l’intermediario documenta l’invio al numero indicato dal ricorrente, che nega di averlo ricevuto.

Il Collegio rileva poi che, dalla ricostruzione istruttoria, il ricorrente è presumibilmente stato vittima di un vishing nel corso del quale ha scaricato un’applicazione di controllo remoto, tramite cui il truffatore ha oscurato lo schermo e disposto i pagamenti. In linea con le proprie precedenti decisioni, il Collegio riconosce la colpa grave dell’utente che installi un software la cui funzionalità risiede nel permettere l’accesso e il controllo dello smartphone da remoto, consentendo al frodatore di agire indisturbato. Il richiamo alla colpevole credulità del cliente, vittima di tecniche di accalappiamento ormai note, completa il percorso argomentativo. Il ricorso è pertanto respinto.