Truffa del falso operatore e social hacking esclusi dalla PSD2 (ABF Collegio di Milano n. 2078 del 09.03.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte e autenticate personalmente dal cliente, anche se indotte da istruzioni manipolative impartite da un sedicente operatore, sono autorizzate e non rientrano nel regime di responsabilità per le operazioni non autorizzate previsto dal d.lgs. n. 11/2010 e dalla direttiva 2015/2366/UE. La truffa che si realizza lasciando che sia il titolare a disporre e autenticare i singoli pagamenti, senza che il frodatore apprenda i codici di accesso, integra il social hacking e si distingue dal vishing, in cui è il truffatore a operare sui codici carpiti. In tale ipotesi non viene in rilievo l’esame del sistema di autenticazione forte adottato dall’intermediario.

Il Fatto

La parte ricorrente riferisce di aver ricevuto, il 21.10.2025, un SMS apparentemente riconducibile all’intermediario, che segnalava un tentativo di transazione sospetto di € 3.200,00 e invitava a contattare un numero di assistenza. Chiamato il numero, un sedicente operatore la convinceva a disinvestire somme e ad accettare tramite App due richieste di autorizzazione da € 1.990,00 ciascuna, presentate come necessarie per recuperare i fondi.

Su indicazione del medesimo interlocutore, la ricorrente eseguiva poi due bonifici istantanei verso il proprio conto per complessivi € 3.590,00 e, con tali fondi, un ulteriore bonifico di € 3.824,62 a favore di un terzo. Solo a telefonata conclusa si avvedeva della frode. Segnalava quindi le operazioni ancora in attesa, ma lamentava l’assenza di un servizio con operatore umano e la presenza di una chatbot con risposte predefinite; la procedura di recall veniva avviata solo il 31 ottobre. L’intermediario, non costituito, negava il rimborso sostenendo che le operazioni erano regolarmente autorizzate.

La motivazione del Collegio

Il Collegio circoscrive l’esame alle due disposizioni di pagamento on-line da € 1.990,00 ciascuna, eseguite personalmente dalla ricorrente il 21.10.2025 a causa della truffa subita. La questione centrale è se tali operazioni ricadano nella disciplina delle operazioni non autorizzate.

La risposta è negativa. Dalla denuncia e dalla stessa prospettazione del ricorso emerge che le transazioni sono state eseguite direttamente dalla parte ricorrente, la quale riconosce di aver mantenuto il pieno ed esclusivo controllo del telefono e di non aver mai comunicato a terzi PIN, password e credenziali. Le operazioni, quindi, pur indotte dal raggiro di un terzo, risultano interamente eseguite e autorizzate dal pagatore.

Secondo l’orientamento dei Collegi richiamato nella decisione, quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, la stessa deve considerarsi autorizzata. Non viene perciò in rilievo il regime di responsabilità di cui al d.lgs. n. 11/2010 e alla PSD2, né si procede all’esame del sistema di autenticazione forte dell’intermediario.

Il Collegio qualifica la fattispecie come social hacking, richiamando la definizione della decisione del Collegio di Milano n. 432/2023: si tratta dell’impartire telefonicamente istruzioni manipolative al titolare, lasciando che sia lui a disporre e autenticare i singoli pagamenti, senza che il frodatore conosca i codici di accesso. La diversità rispetto al vishing è netta, perché in quest’ultimo è il truffatore a disporre e autenticare le operazioni. Sul punto il Collegio cita anche la decisione del Collegio di Palermo n. 8841/2025 e la decisione del Collegio di Roma n. 8538/2021.

Da ciò deriva l’inapplicabilità del regime di responsabilità del prestatore di servizi di pagamento e, quindi, il rigetto del ricorso. Resta assorbita ogni valutazione sulla gestione delle segnalazioni e sulla tardività del recall, profili che presupporrebbero l’operatività della disciplina invocata.