Spoofing e concorso di colpa: rimborso parziale per operazione disposta sotto inganno (ABF Collegio di Napoli n. 4791 del 27.05.2026)

Principi di diritto (Massima)
Nelle frodi da spoofing, quando l’operazione sia stata predisposta dal frodatore e solo validata dalla vittima mediante i due fattori di autenticazione forte, la fattispecie resta assoggettata al D. lgs. n. 11/2010 e non è riconducibile all’operazione disposta personalmente dal titolare. Il prestatore di servizi di pagamento che abbia rispettato la procedura di SCA non è automaticamente liberato: deve documentare gli elementi di fatto dai quali desumere il dolo o la colpa grave dell’utente. In difetto, il Collegio può ravvisare un concorso di colpa tra le parti, con ripartizione del pregiudizio secondo il diverso apporto causale.

Il Fatto

La ricorrente riceveva sull’app dell’intermediario due notifiche di pagamenti non autorizzati, bloccati dalla banca. Veniva poi contattata da un sedicente operatore che, conoscendo dati riservati — saldo, valuta estera detenuta, residenza non aggiornata — la induceva a trasferire € 2.020,00 per mettere in sicurezza il capitale, prospettando una duplicazione della carta in Romania. In parallelo giungevano SMS inseriti nella chat dell’intermediario, con intestazione della sezione antifrode.

Non ricevendo il promesso riaccredito, la cliente interrompeva la chiamata e comprendeva la truffa. Adiva quindi l’Arbitro chiedendo il rimborso integrale, lamentando la negligenza professionale dell’intermediario, che non avrebbe rilevato l’anomalia dell’operazione rispetto alla modesta operatività abituale. La banca eccepiva che si trattava di disposizione personale e regolarmente autorizzata, che nessun obbligo di monitoraggio sussisteva e che gli SMS presentavano errori grammaticali evidenti.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: artt. 97 e 98 della PSD2, art. 10-bis del D. lgs. n. 11/2010, Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA. La responsabilità del PSP è esclusa solo se, provata l’autenticazione forte, sia dimostrata la condotta dolosa o gravemente colposa dell’utente; l’uso dello strumento registrato non basta, di per sé, a provare l’autorizzazione. Richiamando il Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019, si ribadisce che la mera regolarità formale delle transazioni non libera l’intermediario.

Il Collegio distingue però i casi in cui il cliente disponga personalmente l’operazione: qui, secondo l’orientamento dei Collegi territoriali (Palermo, Roma, Milano), non è configurabile una responsabilità oggettiva del PSP, salvo un apporto causale autonomo dell’intermediario — numero verde non disponibile, mancata identificazione della frode da parte del dipendente, mancato rilievo di indici sospetti. Se invece l’operazione è solo capziosamente impostata dal truffatore e poi autorizzata dalla vittima, resta disconoscibile e soggetta alla disciplina dei servizi di pagamento, salvo concorso di colpa.

Nel caso concreto non risultano evidenze di una disposizione interamente personale: è verosimile che il frodatore abbia impostato l’operazione sul sito del merchant e che la ricorrente l’abbia validata con device certificato e riconoscimento facciale. La SCA risulta rispettata, con notifica push descrittiva. Ciò non esclude responsabilità concorrenti.

La vicenda integra un caso di spoofing, frode insidiosa che di regola esclude la colpa grave del cliente, ma che può dar luogo a concorso di colpa in presenza di indici di inattendibilità dei messaggi. Il Collegio valorizza l’apporto determinante della ricorrente, le imperfezioni grammaticali degli SMS, le due transazioni sottosoglia prodromiche, l’incoerenza tra flusso e-commerce e servizi offerti, e la mancata identificazione del merchant e dell’acquirer da parte dell’intermediario.

Il concorso è quindi stimato in un terzo a carico dell’intermediario e due terzi della ricorrente: rimborso di € 674,00, oltre interessi dal reclamo, con contributo di € 200,00 alla Banca d’Italia e rimborso di € 20,00.