Spoofing e bonifici istantanei: autenticazione forte, alert assenti e concorso di colpa (ABF Collegio di Palermo n. 1340 del 16.02.2026)

Principi di diritto (Massima)
In caso di disconoscimento di operazioni di pagamento il prestatore di servizi di pagamento deve provare l’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, secondo l’art. 10 d.lgs. n. 11/2010. La prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave dell’utente. Nelle fattispecie di spoofing non è di regola ravvisabile la colpa grave del cliente, salvo indici di inattendibilità del messaggio. La mancata attivazione di sistemi di alert costituisce profilo di responsabilità dell’intermediario per le operazioni successive alle prime, quando l’intervallo tra le disposizioni avrebbe consentito all’utente di impedirle. La responsabilità del prestatore per anomalia delle operazioni si liquida in un giudizio sintetico sulla condotta complessiva, con distribuzione del concorso di colpa.

Il Fatto

Il ricorrente, contitolare con la moglie di un conto corrente, riceve il 10.07.2025 un SMS che lo informa della modifica del PIN di accesso all’area riservata. Seguendo le indicazioni contenute nel messaggio accede alla propria applicazione di home banking, senza cliccare su link né comunicare codici. Nei giorni 29 e 30.07.2025 vengono disposti sei bonifici istantanei non autorizzati, per un importo complessivo indicato in euro 81.982,00, tutti in favore del medesimo beneficiario. Nel corso di una telefonata un sedicente operatore antifrode, riferendo dettagli presenti nel profilo del cliente, lo convince della regolarità delle procedure e della migrazione verso nuove coordinate bancarie.

Scoperta la truffa, il ricorrente avvia la procedura di disconoscimento. L’intermediario accredita euro 15.744,00 quale rimborso parziale, che il cliente dichiara di non accettare come transazione e di considerare acconto. Chiede quindi il rimborso dell’intera somma prelevata, dedotto quanto già ricevuto. L’intermediario resiste sostenendo che le operazioni sono state autorizzate con autenticazione a due fattori e che il cliente ha consentito l’installazione dell’app su un nuovo dispositivo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nell’art. 10 d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017: a fronte del disconoscimento, il prestatore deve provare l’autenticazione, la corretta registrazione e contabilizzazione e l’assenza di inconvenienti, oltre alla colpa grave o al dolo dell’utente. La prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave.

Dai log emerge che il 10.07.2025 l’app è stata installata su un nuovo dispositivo, con inserimento del PIN e codice push OTP inviato all’utenza del ricorrente. Anche le tre disposizioni del 29.07.2025 e quelle del 30.07.2025 risultano autorizzate con smartcode e push sul device associato. Il Collegio ritiene pertanto provato il rispetto del regime di autenticazione forte (SCA) e passa a valutare la colpa grave.

La vicenda integra un caso di caller ID spoofing e SMS spoofing. Secondo l’orientamento dei Collegi, in tali fattispecie la colpa grave del cliente non è di regola ravvisabile, salvo indici di inattendibilità del messaggio, come errori grammaticali o lessicali o link non riferibili all’intermediario. Nel caso concreto alcuni SMS presentano errori, come il passaggio dalla seconda alla terza persona singolare, e il ricorrente ha tenuto una condotta incauta, accedendo all’home banking su istruzioni ricevute e contattando il servizio clienti con scarsa solerzia. Sussistono dunque profili di colpa.

Assume però rilievo decisivo la mancata attivazione dei sistemi di alert. Secondo la posizione condivisa dei Collegi, la mancata attivazione del servizio di sms alert, o di altro assimilabile, costituisce profilo di responsabilità dell’intermediario, salvo esplicito rifiuto dell’utente. Poiché l’alert mira a mettere in guardia il titolare e a consentirgli di impedire ulteriori operazioni, non sussiste responsabilità dell’intermediario solo se le operazioni disconosciute avvengono entro cinque minuti. Nel caso di specie il Collegio restituisce integralmente le operazioni dalla terza in poi, per euro 59.747,00.

Il Collegio valorizza inoltre gli indici di frode desumibili dal punto 2 della lett. a) dell’art. 8 del D.M. n. 112/2007, richiamati come parametro di valutazione della condotta del prestatore anche per operazioni eseguite con strumenti diversi dalle carte, in ragione dell’unicità della ratio. La responsabilità per anomalia delle operazioni si liquida in un giudizio sintetico sulla condotta complessiva, con distribuzione in concreto del concorso di colpa: il Collegio applica il 20% alle prime due operazioni, per euro 4.447,00. Il totale da rimborsare è di euro 64.194,00; dedotto il rimborso già ricevuto di euro 15.744,00, residua la somma di euro 48.450,00, oltre al contributo di euro 200,00 alla Banca d’Italia e al rimborso di euro 20,00 al ricorrente.