Smishing e bonifici disposti dal cliente: esclusa la responsabilità del PSP (ABF Collegio di Roma n. 3663 del 24.04.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2; non è pertanto configurabile una responsabilità oggettiva del prestatore di servizi di pagamento. Il Collegio può tuttavia rilevare una responsabilità concorrente del PSP, secondo le norme di diritto comune, quando dalla documentazione in atti emerga in concreto un apporto causale dell’intermediario alla frode. La qualificazione della truffa come smishing non è di per sé sufficiente a fondare tale concorso: occorre verificare se il canale utilizzato dai frodatori sia riconducibile all’intermediario. L’autenticazione mediante Mobile Token, con credenziali statiche e OTP generata da software token generator, è conforme ai requisiti di autenticazione forte del cliente.

Il Fatto

La ricorrente riferisce di aver ricevuto, il 9.9.2025, un sms apparentemente proveniente dall’intermediario, con l’invito a confermare un’operazione dispositiva o a contattare un numero telefonico in caso di disconoscimento. Chiamato il numero indicato, interlocuiva con un sedicente addetto al servizio antifrode, che la induceva a disporre due bonifici, di € 4.900,00 e € 9.000,00, a favore di un terzo, al dichiarato fine di bloccare operazioni fraudolente sul suo conto.

Resasi conto della truffa, la ricorrente contattava il servizio clienti e il giorno successivo si recava in filiale, dove le veniva richiesta la denuncia prima di avviare la pratica di disconoscimento. Presentava quindi istanza di rimborso per complessivi € 13.900,00, rigettata dall’intermediario. Proponeva ricorso all’Arbitro, resistito dall’intermediario che ne chiedeva il rigetto.

La motivazione del Collegio

Il Collegio ricostruisce la vicenda come frode riconducibile allo smishing, ma rileva che le due operazioni di bonifico ordinario sono state materialmente eseguite dalla ricorrente, indotta in errore dai frodatori. Su questo presupposto si innesta la questione giuridica centrale: stabilire se, in presenza di operazioni disposte personalmente dal pagatore, possa configurarsi una responsabilità dell’intermediario.

Sul piano dell’autenticazione, l’intermediario ha prodotto i log da cui risulta che le operazioni sono state correttamente autenticate, registrate e contabilizzate, senza malfunzionamenti o compromissioni dei sistemi. Il Collegio ritiene la modalità autorizzativa compliant alla SCA: essa si basa sull’inserimento di credenziali statiche e del codice OTP generato dal Mobile Token, con componente di possesso integrata dal software token generator. Richiama sul punto la propria precedente decisione n. 6634/2021.

Il Collegio aderisce all’orientamento unanime dei Collegi territoriali: quando l’operazione è eseguita per intero dal pagatore, essa va considerata autorizzata e resta fuori dal regime di responsabilità della PSD2, non essendo configurabile una responsabilità oggettiva del PSP. Resta possibile, secondo le norme di diritto comune, una responsabilità concorrente dell’intermediario, ma solo se dalla documentazione emerge un concreto apporto causale dello stesso alla frode.

Nel caso di specie tale apporto non è ravvisabile. Il messaggio civetta non si inserisce in coda ad altri sms, il mittente non reca il nominativo dell’intermediario, il numero da chiamare non è riconducibile allo stesso e il testo presenta errori grammaticali e sintattici. La linea telefonica usata per il messaggio e per interloquire con il truffatore non appartiene all’intermediario: mancano quindi gli estremi del concorso di responsabilità della banca.

Il Collegio esamina anche il profilo della gestione dell’allarme. La ricorrente ha contattato il servizio clienti solo a partire dalle ore 21:00, mentre la revoca dei bonifici poteva essere disposta entro le ore 20:00 e il primo sms alert era stato ricevuto alle 19:21. Tale circostanza contraddice la contestazione di negligenza dell’intermediario nella gestione della richiesta di revoca. Il ricorso è pertanto respinto.