Spoofing telefonico e autenticazione forte: colpa grave del cliente al 50% (ABF Collegio di Milano n. 1712 del 25.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, il concorso causale del cliente in fase dispositiva o autorizzativa non rende per ciò solo la transazione non autorizzata, poiché la nozione di consenso rilevante è quella convenuta tra pagatore e prestatore di servizi di pagamento. La strong customer authentication, realizzata con almeno due fattori indipendenti tra conoscenza, inerenza e possesso, è provata quando l’operazione risulti autenticata mediante notifica push e codice PIN. Il ricorrere di una tecnica fraudolenta più sofisticata, come l’ID caller spoofing, non esclude di per sé la colpa grave del cliente, che può sussistere in presenza di messaggi truffaldini con errori lessicali e di un atteggiamento di cooperazione attiva, ancorché inconsapevole, alla frode. La colpa grave accertata incide sulla causazione del danno in misura proporzionale, con riduzione del rimborso.

Il Fatto

La ricorrente riferisce di essere stata vittima, in data 09.06.2025, di una truffa telefonica con esecuzione di un pagamento non riconosciuto di 1.000,00 euro. Un sedicente addetto della polizia postale di Como, conoscendo le sue generalità e i riferimenti della carta, la informava di movimenti sospetti; subito dopo un sedicente operatore della banca, preannunciato dalla prima chiamata, la induceva a eseguire istruzioni per stornare un’operazione in realtà inesistente. La cliente verificava la genuinità dei numeri telefonici e degli sms prima di procedere. Domanda quindi il rimborso integrale dell’importo.

L’intermediario eccepisce in via preliminare l’irricevibilità del ricorso, sostenendo che la transazione è stata autorizzata mediante autenticazione forte tramite APP e PIN, con ricezione di SMS Alert e avvisi antitruffa. Nel merito invoca la mancanza di prova della frode e la colpa grave della cliente, che avrebbe eseguito pedissequamente le istruzioni del truffatore; in via subordinata chiede la ripartizione proporzionale delle responsabilità con applicazione della franchigia di legge.

La motivazione del Collegio

Il Collegio richiama il D. lgs. 27 gennaio 2010, n. 11, come modificato dal D. Lgs. n. 218/17 di attuazione della direttiva PSD II, applicabile alle operazioni del 9 giugno 2025. Rileva che l’operazione disconosciuta ammonta a 1.000,00 euro e che dalle dichiarazioni di parte risulta confermato il pagamento contestato. Secondo l’orientamento dei Collegi, se il concorso causale dell’utente è parziale, la transazione non è per ciò solo non autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso e impone che questo sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento.

Sul piano della strong customer authentication, il Collegio individua le fonti negli artt. 97 e 98 della PSD2, nell’art. 10-bis del D. Lgs. 11/2010, nelle norme tecniche EBA recepite con il Regolamento Delegato Ue 2018/389 e nei criteri interpretativi del parere EBA del 21 giugno 2019. La SCA richiede almeno due dei tre fattori — conoscenza, inerenza, possesso — reciprocamente indipendenti e appartenenti a categorie diverse. Nel caso concreto la documentazione prodotta prova l’autenticazione forte, avvenuta tramite notifica push sul device della cliente e codice PIN.

Il Collegio esamina poi la condotta delle parti, ricostruendo le due chiamate ricevute: la prima, delle ore 15:01, proveniente da un numero corrispondente a quello della Questura di Como; la seconda, delle ore 15:03, da un numero corrispondente a quello dell’intermediario. Da tali evidenze deduce che la cliente è stata vittima di una truffa insidiosa, riconducibile all’ID caller spoofing, tecnica potenzialmente più decettiva rispetto al comune phishing o vishing, contrastabile con una diligenza minima in ragione della sua diffusione e della scarsa idoneità a trarre in inganno i clienti.

Tuttavia, il Collegio precisa che la maggiore sofisticazione della tecnica non basta a escludere profili di colpa grave del cliente. Questi sussistono nel caso di specie in presenza di messaggi truffaldini contenenti errori lessicali e di punteggiatura, nonché di un atteggiamento di cooperazione attiva, seppure inconsapevole, alla frode. Considerate tutte le circostanze, il Collegio conclude che sussistono profili di colpa grave della cliente, la cui assenza soltanto avrebbe consentito l’accoglimento pieno della domanda, e che questi abbiano inciso per il 50% sulla causazione del fatto dannoso. Accoglie pertanto parzialmente il ricorso, disponendo il pagamento di 500,00 euro, oltre al contributo di 200,00 euro alla Banca d’Italia e al rimborso di 20,00 euro per la presentazione del ricorso.