Smishing e spoofing con concorso di colpa del cliente comportano rimborso parziale (ABF Collegio di Roma n. 879 del 02.02.2026)

Principi di diritto (Massima)
Nelle frodi da smishing con spoofing del mittente, la circostanza che il cliente abbia inserito le credenziali su una pagina contraffatta integra di regola colpa grave, ma questa non assorbe automaticamente il nesso causale. Quando il truffatore adotta modalità tecnicamente sofisticate, riconducibili a un malfunzionamento del servizio di pagamento e dunque al rischio di impresa dell’intermediario, il comportamento negligente del cliente concorre con tale disfunzione. Il rimborso è pertanto liquidato in via equitativa e parziale, secondo il principio del concorso di colpa. Resta fermo che il prestatore risponde delle operazioni non autorizzate quando non sia stata garantita un’idonea autenticazione forte del cliente.

Il Fatto

La ricorrente riferisce di aver ricevuto un sms apparentemente proveniente dalla banca, con invito ad aggiornare il questionario antiriciclaggio tramite un link. Cliccando, accedeva a una pagina identica a quella dell’istituto e inseriva le credenziali di home banking. Nei giorni successivi apprendeva del cambio di indirizzo e-mail e numero di telefono collegati al conto e del prelievo di euro 1.325,50 tra il 25 e il 26 aprile 2025, di cui chiedeva il rimborso.

L’intermediario eccepiva che l’app era stata installata su un dispositivo dei frodatori tramite inserimento dei dati personali e del codice OTP ricevuto sul cellulare censito, e che le operazioni erano state autorizzate con autenticazione forte. Addebitava alla cliente di non essersi attivata tempestivamente dopo gli alert.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile alle operazioni eseguite dopo il 14.09.2019, data di efficacia delle misure di sicurezza introdotte dal d.lgs. n. 218/2017 in attuazione della PSD 2 e del regolamento delegato (UE) n. 2018/389. Richiama l’art. 10-bis d.lgs. n. 11/2010 e l’art. 12, comma 2-bis, che esonera il pagatore da perdite quando il prestatore non esiga l’autenticazione forte del cliente, salvo il caso di comportamento fraudolento.

Sul piano della nozione di autenticazione forte, il Collegio valorizza l’Opinion EBA del 21 giugno 2019: l’OTP via sms integra un valido elemento di possesso, mentre i dati stampati sulla carta non costituiscono né elemento di possesso né di conoscenza. Da qui l’orientamento, richiamato con Collegio di Roma, decisione n. 8493/2020, n. 15221/2021 e n. 21761/2021, secondo cui l’inserimento dei soli dati della carta non è fattore idoneo.

Nel caso concreto il Collegio qualifica la vicenda come ipotesi di smishing con spoofing: il messaggio si è inserito nella conversazione contenente messaggi genuini dell’intermediario. Rileva però che il link non conteneva riferimenti alla banca. Secondo l’orientamento condiviso dai Collegi territoriali, nelle fattispecie di spoofing non è di regola ravvisabile la colpa grave, salvo che emergano indici di inattendibilità o anomalia del messaggio, nel qual caso si configura un concorso di colpa.

Il Collegio ritiene sussistente una colpa grave della cliente, per aver dato seguito alle istruzioni del frodatore nonostante la campagna informativa dell’intermediario. Tuttavia, la considera non esclusiva: il truffatore ha adottato un sistema tecnicamente più sofisticato rispetto allo smishing tipico, tale da concretare un malfunzionamento del servizio di pagamento riconducibile al rischio di impresa dell’intermediario. La colpa del cliente concorre con tale disfunzione, senza assorbirne il nesso causale, come già affermato da Coll. Milano, dec. n. 2892/2021 e Coll. Roma, dec. n. 1625/2022.

Il Collegio liquida quindi equitativamente euro 700,00 a titolo risarcitorio, in parziale accoglimento del ricorso, oltre al rimborso di euro 20,00 per il contributo versato e alla condanna dell’intermediario al pagamento di euro 200,00 in favore della Banca d’Italia.