SMS spoofing e colpa grave dell’utente che autorizza il bonifico al truffatore (ABF Collegio di Bologna n. 4250 del 12.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, il prestatore dei servizi di pagamento è tenuto a provare, ai sensi dell’art. 10, primo comma, d.lgs. n. 11/2010, che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Ove tale prova sia fornita mediante evidenze informatiche che attestino l’autenticazione a doppio fattore (fattore di conoscenza e fattore biometrico) sul dispositivo in possesso esclusivo del cliente, l’operazione deve ritenersi autorizzata. Resta tuttavia da valutare la colpa grave dell’utente, che la giurisprudenza qualifica come comportamento di straordinaria e inescusabile imprudenza o negligenza, non scusabile e abnorme. Nelle fattispecie di sms spoofing la colpa grave non è in genere ravvisabile, salvo che il messaggio civetta presenti indici di inattendibilità o anomalia idonei ad allertare l’utente avveduto: in tal caso le conseguenze patrimoniali della frode restano a carico del cliente.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario convenuto, riferisce di essere stata contattata telefonicamente da un soggetto qualificatosi come operatore antifrode della banca, che, segnalando presunti accessi abusivi, la induceva ad accedere all’app di mobile banking e ad autorizzare un aumento del limite dei bonifici fino a € 20.000,00, presentandolo come misura di sicurezza. Subito dopo veniva eseguito un bonifico di pari importo verso un beneficiario sconosciuto.

La cliente disconosceva l’operazione, sporgeva denuncia-querela e presentava reclamo chiedendo il rimborso, negato dall’intermediario. Quest’ultimo eccepiva in via preliminare l’inammissibilità del ricorso per assenza di reclamo preventivo e, nel merito, sosteneva che il bonifico era stato disposto dalla cliente tramite la propria App dopo aver volontariamente innalzato i limiti operativi, con autenticazione forte.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione preliminare di inammissibilità, che non merita accoglimento. Richiamata la Sezione VI delle Disposizioni della Banca d’Italia, che configura il reclamo preventivo come condizione di procedibilità, il Collegio osserva che il reclamo non deve rivestire alcuna forma rituale: è sufficiente la contestazione scritta di un comportamento. Il modulo di disconoscimento dell’operazione ha valore di reclamo e il rigetto della richiesta di rimborso ne costituisce rigetto.

Nel merito, la controversia riguarda un bonifico eseguito tramite l’app dell’intermediario, disciplinato dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. L’art. 12 del decreto opera uno spostamento della responsabilità in capo al prestatore in caso di utilizzo fraudolento, salvo frode, dolo o colpa grave dell’utilizzatore. L’art. 10 bis impone l’autenticazione forte del cliente per l’accesso e le operazioni a rischio di frode.

Le evidenze informatiche prodotte dalla banca attestano che la transazione è stata eseguita dalla cliente attraverso la propria App, installata sul suo cellulare, con doppio fattore di autenticazione (PIN e riconoscimento biometrico). Tale documentazione è ritenuta idonea a dimostrare la corretta autenticazione dell’operazione contestata.

Il Collegio valuta poi la colpa grave della ricorrente, qualificata, in sintonia con l’orientamento della Corte di Cassazione e dell’ABF, come comportamento consapevole connotato da straordinaria e inescusabile imprudenza. Nelle fattispecie di sms spoofing la colpa grave non è in genere ravvisabile, salvo che il messaggio presenti indici di inattendibilità. Nel caso concreto la cliente ha essa stessa disposto le due operazioni, seguendo incautamente le istruzioni telefoniche di uno sconosciuto, dando seguito a messaggi provenienti da utenza non riconducibile alla banca e redatti in modo generico e con errori. Ha inoltre ricevuto un sms di alert, dalla stessa versato in atti, che avrebbe dovuto allarmarla e indurla a contattare la banca per il blocco dell’operazione.

Considerati tali elementi, il Collegio ritiene che la ricorrente abbia agito senza quel minimo di prudenza idoneo a scongiurare la truffa e debba pertanto sopportare l’intera perdita subita. Il ricorso è non accolto.