Smishing con spoofing e concorso di colpa del cliente (ABF Collegio di Roma n. 3396 del 17.04.2026)

Principi di diritto (Massima)
Nelle frodi di smishing caratterizzate da spoofing del mittente, il pagamento disposto personalmente dal cliente con l’inserimento di tutti i fattori di autenticazione è autorizzato e non ricade nel regime di responsabilità della PSD2; la condotta dell’intermediario va tuttavia scrutinata alla stregua dell’art. 1218 c.c. e delle regole di corretto adempimento, integrate dal principio di buona fede. Quando il truffatore adotta modalità tecnicamente sofisticate, il Collegio ravvisa un malfunzionamento del servizio di pagamento riconducibile al rischio di impresa del PSP. La colpa grave del cliente non assorbe allora l’intero nesso causale, ma concorre con esso: il risarcimento è liquidato in via equitativa secondo l’art. 1227 c.c.

Il Fatto

La ricorrente riferisce di aver ricevuto, il 12 marzo 2025, un SMS apparentemente proveniente dalla propria banca, che segnalava un movimento non autorizzato in uscita di € 1.490,00 e indicava un numero di cellulare da contattare per il disconoscimento. Chiamato quel numero, un sedicente impiegato la induceva a seguire una serie di istruzioni per il blocco dell’operazione. Poco dopo la cliente riceveva un nuovo messaggio che confermava l’esecuzione di un bonifico istantaneo di pari importo. Di qui il ricorso all’Arbitro per ottenere il rimborso.

L’intermediario resiste. Sostiene che l’operazione non è non autorizzata, perché la cliente avrebbe ammesso di averla disposta personalmente, e che l’autenticazione a due fattori è stata rispettata. Eccepisce inoltre la carenza documentale sugli screenshot e sulla lista chiamate, l’estraneità del numero indicato e l’assenza di anomalie tecniche su un’unica disposizione. Il recall del bonifico istantaneo risulta rifiutato.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. Poiché il pagamento è stato eseguito per intero dal cliente, con inserimento della disposizione e di tutti i fattori di autenticazione, esso deve considerarsi autorizzato e sottratto al regime di responsabilità proprio della PSD2 e del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017.

Tale conclusione non esaurisce però il giudizio. La condotta del prestatore di servizi di pagamento va valutata secondo le regole generali delle obbligazioni, sotto il profilo del diligente adempimento e degli artt. 1176, comma 2, 1375 e 1218 c.c., con eventuale concorso di colpa ex art. 1227 c.c. Il Collegio richiama il proprio orientamento sui casi in cui l’apporto causale del PSP emerge dalla documentazione: indisponibilità del numero verde, mancata identificazione della frode da parte del dipendente, mancato rilievo di indici sospetti.

Sul piano istruttorio, il Collegio aveva chiesto alla ricorrente le schermate del registro chiamate e degli SMS. La produzione ha consentito di accertare che il messaggio fraudolento si era inserito, nella visualizzazione dello smartphone, all’interno della conversazione contenente messaggi genuini della banca: è l’ipotesi di spoofing. Il numero da contattare, tuttavia, non è riconducibile all’intermediario e il testo presenta errori grammaticali.

Secondo l’orientamento condiviso dai Collegi territoriali, nello spoofing non è di regola ravvisabile la colpa grave del cliente, salvo che emergano indici di inattendibilità del messaggio; in tal caso si configura un concorso di colpa. Nel caso concreto il Collegio ritiene sussistente la colpa grave della cliente, che ha dato seguito alle istruzioni del frodatore, ma ne esclude l’efficienza causale esclusiva: il sistema adottato dal truffatore è tecnicamente più sofisticato e integra un malfunzionamento del servizio rientrante nel rischio di impresa dell’intermediario. La colpa del cliente concorre dunque con tale apporto, secondo i richiami a Coll. Milano n. 2892/2021 e Coll. Roma n. 1625/2022.

Il Collegio liquida pertanto in via equitativa, a titolo risarcitorio, la somma di € 700,00, oltre al rimborso del contributo di € 20,00 e al versamento di € 200,00 alla Banca d’Italia per le spese della procedura.