Spoofing e bonifico disposto dal cliente: esclusa la responsabilità PSD2 della banca (ABF Collegio di Torino n. 4072 del 07.05.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con inserimento della disposizione di bonifico e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2 e dal d.lgs. n. 11/2010. L’esclusione opera anche per le operazioni disposte inconsapevolmente dal cliente sotto dettatura del terzo malfattore, perché la truffa resta estranea al servizio di pagamento e al rapporto di provvista. La responsabilità dell’intermediario può quindi essere valutata solo secondo il regime ordinario, in presenza di indici sintomatici di negligenza. Nel caso di specie il Collegio non ha ravvisato alcun elemento di colpa a carico della banca e ha respinto il ricorso.

Il Fatto

Il ricorrente, dopo un reclamo riscontrato negativamente dall’intermediario, si è rivolto all’Arbitro chiedendo il rimborso di € 3.970,00, importo di un bonifico eseguito in seguito a una frode ai suoi danni. Secondo la sua ricostruzione, era stato contattato da un’utenza telefonica riconducibile all’intermediario e, con toni professionali, informato di un bonifico anomalo; veniva quindi invitato ad accedere all’home banking tramite app, inserendo il nominativo della beneficiaria e un codice ricevuto via SMS.

Solo dopo successivi avvisi di ulteriori bonifici anomali si avvedeva della truffa. Recatosi in filiale, apprendeva che anziché bloccare il bonifico lo aveva inavvertitamente autorizzato. L’intermediario, dal canto suo, ha sostenuto che l’operazione era stata eseguita autonomamente dal cliente mediante accesso con PIN e autorizzazione con codice *PIN, previo superamento dei presidi di sicurezza; ha inoltre riferito di aver tentato il richiamo del bonifico, chiedendo una manleva che il ricorrente si è rifiutato di sottoscrivere.

La motivazione del Collegio

Il Collegio ha innanzitutto qualificato la fattispecie: si tratta di operazioni di pagamento effettuate personalmente dal ricorrente, come risulta dalle sue stesse dichiarazioni e dalla documentazione prodotta. I log depositati dall’intermediario documentano l’accesso all’home banking e l’autorizzazione del pagamento tramite l’applicazione installata sul dispositivo registrato, con verifica del requisito del possesso e dell’elemento di conoscenza costituito dalla digitazione del codice di identificazione personale.

Si tratta, osserva il Collegio, di un sistema di autenticazione forte già ritenuto conforme alla normativa applicabile in una propria precedente decisione (Coll. Torino n. 1534/2026). Da qui la corretta osservazione dell’intermediario: la vicenda è estranea alla disciplina degli artt. 10 e 10-bis d.lgs. 27 gennaio 2010, n. 11, limitata alle anomalie nell’uso dello strumento di pagamento o alle frodi intervenute nel quadro della sua utilizzazione, e non alla fase negoziale o prenegoziale attinente al rapporto di valuta tra ordinante e terzo fornitore.

Secondo gli orientamenti condivisi dei Collegi, quando l’operazione è eseguita per intero dal pagatore l’operazione deve considerarsi autorizzata e non è soggetta al regime di responsabilità della PSD2. Tale esclusione si applica anche alle operazioni eseguite inconsapevolmente “sotto dettatura” del malfattore, e a maggior ragione nel caso in cui la disposizione sia stata intenzionalmente inserita in virtù di una frode estranea al servizio di pagamento o al rapporto di provvista.

Il Collegio passa quindi a verificare la responsabilità dell’intermediario secondo il regime ordinario, sulla base delle evidenze disponibili e dei criteri sintomatici elaborati dagli orientamenti condivisi: la mancata disponibilità del numero verde, la mancata identificazione del tentativo di frode in corso da parte dell’intermediario cui il pagatore si sia rivolto, il mancato rilievo di indici di frode. Nel caso concreto nessuno di questi elementi risulta allegato.

Richiamando la giurisprudenza arbitrale in materia di spoofing (Coll. Roma n. 11323/2025, n. 2879/2024, n. 12307/2023; Coll. Milano n. 13578/2023), il Collegio ha ribadito che la truffa non vulnera il processo di autorizzazione e di autenticazione dei pagamenti: l’intermediario non può che considerare autorizzato il pagamento effettuato personalmente e non ha alcuna possibilità di accorgersi della truffa. Il ricorso è stato pertanto respinto, restando a carico del ricorrente l’onere di recuperare le somme per altra via.