Spoofing e bonifico non autorizzato: onere probatorio del cliente e colpa grave (ABF Collegio di Torino n. 103 del 08.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che abbia provato l’autenticazione forte dell’operazione è tenuto a dimostrare anche la colpa grave dell’utente, con la specifica indicazione di elementi di fatto da cui desumerla in via presuntiva. Nelle fattispecie di caller ID spoofing, la sola produzione dei log di autenticazione non integra di per sé la prova della colpa grave, data l’insidiosità del meccanismo di aggressione. Tuttavia, qualora il cliente non alleghi il messaggio civetta, la registrazione della chiamata o il registro delle telefonate, il ricorso è rigettato, perché non è possibile verificare la riconducibilità del contatto all’intermediario e il legittimo affidamento dell’utente.

Il Fatto

Il ricorrente chiede la restituzione di € 9.800,00 corrispondenti a un bonifico disconosciuto. Espone di essere stato contattato, il 28 maggio 2025, da sedicenti operatori antifrode, prima da un numero riconducibile a un altro intermediario, poi da un numero apparentemente della Polizia Postale e infine da un numero della resistente. Seguendo le indicazioni del falso operatore avrebbe autorizzato l’operazione; avvedutosi della truffa, avrebbe chiamato il call center alle ore 17:50 per bloccare il conto.

Il ricorrente lamenta la responsabilità contrattuale ed extracontrattuale della banca, invocando l’art. 2050 c.c., il mancato storno nonostante la tempestiva segnalazione e il superamento del limite di € 1.000,00 per operazione indicato sul sito. L’intermediario resiste sostenendo che l’operazione è stata autenticata con credenziali statiche e dinamiche e OTP, che il cliente ha condiviso i codici per vishing e che non ha fornito prova della truffa.

La motivazione del Collegio

Il Collegio inquadra la controversia nella disciplina dei servizi di pagamento, richiamando gli artt. 10, 10-bis e 12, d.lgs. n. 11/2010, come modificati dal d.lgs. n. 218/2017 di recepimento della direttiva UE 2015/2366. Il regime probatorio è di favore per l’utente e impone al PSP una sequenza graduata: provare innanzitutto l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti; solo dopo, la colpa grave dell’utilizzatore. La prova dell’autenticazione è antecedente logico rispetto a quella della colpa.

Sul primo versante il Collegio ritiene assolto l’onere. L’intermediario ha documentato l’accesso alle 16:08:16 e il bonifico alle 16:29:28, entrambi con autenticazione a due fattori: username e password (elemento di conoscenza) e codice OTP inviato via sms al numero certificato (elemento di possesso). Il sistema è quindi conforme alla disciplina dell’autenticazione forte.

Il Collegio chiarisce però che la prova dell’autenticazione e della formale regolarità dell’operazione non esaurisce l’onere del PSP: occorre indicare gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la colpa grave dell’utente. Sul punto rileva che il ricorrente non ha allegato né la denuncia sporta alle autorità, cui pure le parti fanno riferimento, né alcuna evidenza delle chiamate ricevute. L’operazione contestata è una sola; i due successivi tentativi di bonifico risultano negati.

Quanto al servizio di sms alert, il Collegio richiama l’orientamento condiviso secondo cui la mancata o tardiva attivazione è irrilevante quando la ricezione dell’allerta non avrebbe potuto in concreto limitare il pregiudizio, come nel caso di una sola operazione fraudolenta. Nel merito, il Collegio ricorda che negli episodi di spoofing non è di regola ravvisabile la colpa grave del cliente, salvo che il messaggio civetta o la provenienza della chiamata presentino indici di evidente inattendibilità, con possibile concorso di colpa. La mancata allegazione del messaggio civetta o del registro chiamate determina però il rigetto, perché impedisce di verificare se il chiamante fosse riconducibile all’intermediario e se sussistesse un legittimo affidamento. Il Collegio non accoglie quindi il ricorso e attribuisce interamente al cliente la responsabilità della somma sottratta.