Sms spoofing e bonifici non autorizzati (ABF Collegio di Roma n. 1792 del 26.02.2026)

Principi di diritto (Massima)
Nelle frodi riconducibili al c.d. sms spoofing non è di regola ravvisabile la colpa grave del cliente, a meno che non emergano indici di inattendibilità o anomalia del messaggio. In presenza di tale negligenza, unita alle criticità organizzative del servizio di pagamento dell’intermediario, si configura un concorso di colpa tra le parti. Il riparto delle conseguenze economiche della operazione non autorizzata può essere determinato in via equitativa dal Collegio. Il sistema di autenticazione forte del cliente (SCA) non esime l’intermediario da responsabilità quando la frode si sia realizzata con modalità idonee a ingannare l’utente.

Il Fatto

Il ricorrente riferisce di aver ricevuto, in data 31.3.2023, diversi SMS apparentemente provenienti dalla propria banca, contenenti un link per evitare il blocco delle carte. Cliccando sul link, veniva reindirizzato a una pagina identica a quella dell’istituto, dove inseriva i codici di accesso. Dopo un messaggio di errore, gli veniva preannunciato il contatto di un operatore: riceveva così una telefonata da un numero di cellulare e, insospettito, chiedeva di essere richiamato da un’utenza riferibile alla banca.

Preso atto della frode, contattava il servizio clienti e appurava che sul conto erano stati eseguiti due bonifici istantanei di euro 5.000,00 ciascuno, su altro conto presso il medesimo intermediario. Chiedeva quindi il rimborso di euro 10.000,00. L’intermediario eccepiva la grave imprudenza del ricorrente, che aveva inserito le credenziali nell’interfaccia aperta dal link e aveva fornito i codici di accesso all’app al sedicente operatore, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio esamina anzitutto il quadro normativo applicabile, individuato nel d.lgs. 218/2017, che ha recepito la Direttiva 2015/2366/UE (c.d. PSD2), e nella disciplina del d.lgs. 11/2010. Il ricorrente contesta due bonifici istantanei disposti il 31.3.2023 e imputa all’intermediario il tardivo blocco delle somme sul conto del beneficiario, correntista del medesimo istituto.

Dall’esame istruttorio emerge che l’accesso all’app è avvenuto alle ore 13:09 da un nuovo dispositivo, mediante un elemento di conoscenza o un elemento di possesso (OTP ricevuta sul dispositivo certificato del ricorrente). Il frodatore impostava così il nuovo dispositivo come principale. Le singole operazioni risultano poi autorizzate tramite il nuovo dispositivo certificato e il PIN dispositivo. L’intermediario invoca la conformità della procedura ai parametri di autenticazione forte (SCA) richiesti dalla normativa.

Il Collegio ritiene tuttavia che il cliente sia rimasto vittima di una fattispecie delittuosa riconducibile al c.d. sms spoofing. Richiamando l’orientamento condiviso fra i Collegi ABF, si afferma che in tali fattispecie non è generalmente ravvisabile la colpa grave del ricorrente, a meno che non si rinvengano indici di inattendibilità o anomalia del messaggio. In tal caso può essere ravvisato un concorso di colpa tra le parti, in relazione, da un lato, alla negligenza grave dell’utente che agevola la truffa e, dall’altro, alle criticità organizzative del servizio di pagamento dell’intermediario.

Alla luce di tali rilievi, il Collegio dichiara l’esistenza di un concorso di colpa: anche il ricorrente ha contribuito causalmente al verificarsi del danno, avuto riguardo alla non riferibilità alla banca del numero telefonico dal quale è stato contattato dai frodatori. In via equitativa, parte ricorrente ha diritto al pagamento di euro 5.000,00. Il ricorso è quindi accolto in parte, con condanna dell’intermediario al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.