SMS e caller ID spoofing escludono la colpa grave del correntista (ABF Collegio di Roma n. 3767 del 28.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, ai sensi dell’art. 12, comma 2 bis, d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017 (recepimento della PSD 2), il prestatore di servizi di pagamento sopporta la perdita salvo che provi il dolo o la colpa grave dell’utilizzatore. La prova dell’autenticazione forte (SCA) non esonera l’intermediario dall’onere di dimostrare la colpa grave. Questa non sussiste quando la frode si realizzi mediante SMS spoofing e caller ID spoofing, idonei a ingenerare nel cliente un affidamento incolpevole sulla genuinità delle comunicazioni. Il mancato uso degli strumenti di verifica del chiamante non integra di per sé la colpa grave, ove le circostanze di fatto non avessero dovuto allertare un utente mediamente avveduto.

Il Fatto

La ricorrente, correntista di un istituto di credito, ha disconosciuto un bonifico istantaneo di euro 1.900,00 eseguito il 28 gennaio 2025 ed ha chiesto il rimborso all’ABF. Ha rappresentato di aver ricevuto tre SMS apparentemente provenienti dalla banca, che segnalavano bonifici in uscita dal conto, e di essere stata poi contattata da un’utenza riconducibile all’istituto: l’interlocutore la invitava ad accettare un’autorizzazione per stornare le operazioni. Accortasi del saldo in diminuzione, si è insospettita e ha contattato il servizio clienti, scoprendo la frode.

La banca ha resistito sostenendo che l’operazione era stata eseguita con la collaborazione attiva della cliente, tramite autenticazione forte, e che la condotta della ricorrente integrava colpa grave per aver dato seguito a indicazioni telefoniche di uno sconosciuto e per non aver usato l’APP di verifica del numero chiamante.

La motivazione del Collegio

Il Collegio ha anzitutto respinto l’eccezione dell’intermediario secondo cui l’operazione non sarebbe stata “non autorizzata” perché disposta “sotto dettatura” della cliente. Dai log emerge che la ricorrente si è limitata a validare la notifica push ricevuta in APP: le richieste di bonifico non sono state inserite da lei, ma disposte con frode, con accesso dalla pagina web dell’area riservata.

Passando al regime applicabile, il Collegio ha richiamato la propria giurisprudenza (Coll. Coord., dec. n. 22745 del 2019) e ha individuato due profili: l’intermediario deve provare l’autenticazione forte e la corretta registrazione dell’operazione; sempre l’intermediario deve provare i fatti idonei a integrare la colpa grave. Sul primo, i log dimostrano un’autenticazione a doppio fattore — codice segreto (conoscenza) e notifica push su smartphone (possesso) — già ritenuta SCA compliant (Coll. Roma, dec. n. 3343 del 2025).

Sul secondo profilo, il Collegio ha valorizzato la particolare insidiosità della macchinazione: SMS privi di errori, con il nominativo della banca, seguiti da una chiamata il cui numero collima con quello di assistenza dell’istituto. Si tratta, oltre che di SMS spoofing, di caller ID spoofing, ipotesi più insidiosa del “classico” vishing (Coll. Roma, dec. n. 8749 del 2024; Coll. Milano, dec. n. 22105 del 2021). La condotta della correntista, che ha autorizzato il pagamento ritenendolo imposto dalla necessità di stornare operazioni non autorizzate, appare esente da colpa grave.

Quanto all’omesso uso dell’APP di verifica del chiamante, il Collegio ha escluso che l’art. 7, d.lgs. n. 11 cit. imponga al cliente di adoperare in ogni caso gli ulteriori strumenti di sicurezza. Tali misure assumono ruolo dirimente solo quando le modalità della frode avrebbero dovuto allertare un utente mediamente avveduto, come in caso di SMS con evidenti errori grammaticali (Coll. Roma, dec. n. 9491 del 2025). Ove invece le circostanze non lascino dubitare della riferibilità delle comunicazioni all’intermediario, non è congruo obbligare il cliente a quel controllo prima di eseguire l’operazione. Provata la SCA ma esclusa la colpa grave, il ricorso è stato accolto, con condanna dell’intermediario al pagamento di euro 1.900,00, del contributo di euro 200,00 alle spese della procedura e del rimborso di euro 20,00.