SMS spoofing e autenticazione a doppio fattore escludono la non autorizzazione dell’operazione (ABF Collegio di Torino n. 4428 del 15.05.2026)

Principi di diritto (Massima)
Nel regime del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della PSD2, il prestatore di servizi di pagamento deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, secondo la sequenza graduata dell’art. 10 del d.lgs. 11/2010. La prova dell’autenticazione costituisce antecedente logico rispetto alla prova della colpa grave dell’utente. Quando l’operazione è eseguita per intero dal pagatore, con accesso all’App su device certificato e conferma mediante PIN e MPIN, l’operazione deve considerarsi autorizzata e non è soggetta al regime di responsabilità della PSD2, anche se disposta seguendo le indicazioni di un sedicente operatore (sms spoofing). La mancata produzione del messaggio civetta giustifica il rigetto del ricorso.

Il Fatto

La ricorrente ha proposto reclamo all’ABF dopo che l’intermediario non aveva riscontrato il reclamo del 29.9.2025. Ha riferito di aver subito in data 17.09.2025 una frode bancaria di € 4.992,00, ingannata da una notifica verosimile inviata da un’applicazione con logo identico a quello della banca. Ha poi bloccato conto e carta, presentato denuncia il 18.09.2025 e sostenuto di aver agito senza colpa grave, rilevando l’anomalia dell’operazione rispetto alla spesa media mensile di € 627,24 e la mancata ricezione di sms di alert.

L’intermediario ha contestato la pretesa: ha tentato il recupero delle somme, ricevendo il cut off per mancanza fondi; ha ricondotto la frode allo spoofing/SMS phishing; ha evidenziato che il cliente aveva contattato un numero non riconducibile alla banca seguendo le istruzioni di un sedicente operatore; ha eccepito la mancata produzione del messaggio civetta e la regolarità formale del bonifico, autenticato tramite App, PIN applicativo e MPIN, con richiesta di rigetto.

La motivazione del Collegio

Il Collegio ha inquadrato la questione nel paradigma del d.lgs. 11/2010, come modificato dal d.lgs. 218/2017. Ha richiamato la posizione consolidata dell’ABF sul regime probatorio di favore per l’utente, ispirato al principio del rischio d’impresa, citando la decisione del Collegio di coordinamento n. 3498/2012. L’art. 10 impone al prestatore una sequenza graduata: provare autenticazione, corretta registrazione e contabilizzazione e assenza di malfunzionamenti; quindi il comportamento gravemente colposo o doloso dell’utilizzatore, anche per presunzioni.

L’operazione contestata consisteva in un bonifico ordinario di € 4.992,00 eseguito il 17/09/2025 alle ore 19:28. L’intermediario ha dimostrato che il bonifico è stato autenticato tramite App di Mobile Banking e autorizzato con inserimento del PIN da dispositivo genuino, secondo un sistema a doppio fattore di autenticazione conforme alla PSD2. Il Collegio ha richiamato gli orientamenti sul punto (Collegio di Bologna n. 6207/25, Collegio di Milano n. 1867/23, Collegio di Bari n. 1691/2023, Collegio di Torino n. 2624/24), individuando l’elemento di possesso nell’App installata sul device certificato e l’elemento di conoscenza nel PIN in App, sia per l’accesso sia per la singola operazione.

La vicenda è stata qualificata come fenomeno di sms spoofing. La ricorrente, pur non producendo il messaggio civetta, ha riferito di essere stata ingannata da una notifica verosimile con logo replicato, di aver contattato il numero indicato, di aver seguito le indicazioni del sedicente operatore fornendogli un codice e di essersi accorta del bonifico solo al termine della chiamata. Il Collegio ha però rilevato che il numero di telefono utilizzato non era riconducibile all’intermediario e che la mancata produzione del messaggio civetta, secondo l’orientamento dei Collegi (Collegio di Torino nn. 1041/2022, 6054/21, 10578/21, 10870/21), determina il rigetto del ricorso.

Il passaggio decisivo riguarda la qualificazione dell’operazione. È pacifico che la disposizione sia stata correttamente autorizzata, inserita e finalizzata direttamente dal cliente sul device a lui associato. Secondo gli orientamenti condivisi (Collegio di Torino nn. 10900/24 e 10071/2024, Collegio di Roma n. 2414/23, Collegio di Milano n. 2038/2023, Collegio di Bologna n. 4499/2023), quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, deve considerarsi autorizzata e non soggetta al regime di responsabilità della PSD2. Vi rientrano anche le operazioni eseguite seguendo le indicazioni del frodatore senza la consapevolezza di disporre una transazione, le cd. operazioni “sotto dettatura“. Il ricorso è stato quindi rigettato, con assorbimento delle ulteriori contestazioni.