Spoofing del numero della banca e autorizzazione del pagatore: nessun rimborso PSD2 (ABF Collegio di Torino n. 3076 del 09.04.2026)

Principi di diritto (Massima)
Quando il titolare di una carta di pagamento, vittima di caller ID spoofing e di SMS spoofing, convalidi personalmente le operazioni e comunichi le credenziali ai sedicenti operatori dell’intermediario, il consenso al pagamento è effettivo. Non ricorre quindi il difetto di autorizzazione e non trovano applicazione le tutele previste dal d.lgs. n. 11/2010 in materia di operazioni non autorizzate. La condotta del cliente che consegni le credenziali e i codici di sicurezza integra, inoltre, colpa grave nella custodia degli strumenti, idonea a escludere la responsabilità dell’intermediario anche per le operazioni eseguite con uso fisico della carta.

Il Fatto

Il ricorrente chiede la restituzione di € 5.474,00, importo di nove operazioni asseritamente fraudolente eseguite il 25/08/2025 sul conto acceso presso l’intermediario. Secondo la ricostruzione, dopo alcune notifiche di pagamenti annullati sarebbe stato contattato da un numero apparentemente riferibile all’assistenza clienti; un sedicente operatore, tramite spoofing, lo avrebbe indotto a convalidare pagamenti, disporre bonifici e sostituire la carta.

Il ricorrente ha segnalato la vicenda alla Polizia Postale e ha presentato reclamo, ricevendo risposta negativa. L’intermediario ha sostenuto che le operazioni erano state autorizzate dal cliente, con autenticazione forte tramite notifica push e riconoscimento biometrico, e che i prelievi e il pagamento di maggiore importo erano stati eseguiti con uso fisico del chip e del PIN.

La motivazione del Collegio

Il Collegio ricostruisce le nove operazioni: un pagamento online di € 470,00, sette prelievi per complessivi € 3.464,00 e un pagamento di € 1.540,00, tutti eseguiti tra le ore 15:11 e le ore 16:43 del 25/08/2025 con due diverse carte associate al conto.

Il dato decisivo è processuale e sostanziale insieme. Nella denuncia il ricorrente ha ammesso di aver personalmente disposto le operazioni, sia mediante bonifici sia mediante la creazione di una carta virtuale, sia pure sotto la pressione truffaldina. Da qui il Collegio deduce che non si pone la questione della prova dell’autenticazione: le evidenze documentali mostrano comunque un’autenticazione conforme ai requisiti normativi di autenticazione forte del cliente.

L’esistenza del consenso del pagatore esclude quindi che venga in rilievo la disciplina del d.lgs. n. 11/2010 sulle conseguenze giuridiche del difetto di autorizzazione. Il ricorso non può essere accolto quanto alle operazioni oggetto di contestazione.

Il Collegio aggiunge un’argomentazione autonoma, destinata ai prelievi: anche a volerli considerare non interamente eseguiti dal ricorrente, la sua condotta nella custodia delle credenziali risulta gravemente colposa. La conclusione sarebbe dunque la medesima, con esclusione della responsabilità dell’intermediario.

La decisione ribalta l’impostazione del ricorrente, che aveva invocato una presunta falla organizzativa dell’intermediario per lo spoofing del numero di assistenza. Il consenso prestato, ancorché carpito con raggiro, resta un consenso del pagatore e assorbe la questione dell’autenticazione. Il ricorso è rigettato.