Spoofing telefonico e carta di credito (ABF Collegio di Torino n. 1527 del 19.02.2026)

Principi di diritto (Massima)
Nelle controversie sull’utilizzo fraudolento di strumenti di pagamento il prestatore di servizi di pagamento deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, secondo la sequenza graduata dell’art. 10 del d.lgs. n. 11/2010. La prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave dell’utente. Quando l’operazione sia stata autenticata con fattore di possesso e elemento biometrico, documentati dai log del prestatore, e il cliente non alleghi la prova della chiamata asseritamente ricevuta dall’istituto, non è verificabile il legittimo affidamento sulla genuinità del contatto e il ricorso è rigettato.

Il Fatto

Il ricorrente riferisce di essere stato contattato, il 25 marzo 2025, da un numero apparentemente riconducibile all’intermediario. Un sedicente operatore dell’ufficio prevenzione frodi, che conosceva suoi dati sensibili, lo induceva ad autorizzare tre pagamenti di € 500,00 ciascuno, eseguiti tra le 15:04 e le 15:08. Terminata la telefonata, il cliente contattava la vera assistenza, che gli confermava la truffa, bloccava la carta e gli inviava il modulo di disputa.

La contestazione formale del 28 marzo 2025 si chiudeva con esito negativo il 16 aprile 2025. Il ricorrente chiedeva quindi il rimborso di € 1.500,00 davanti all’ABF, lamentando che l’intermediario non avesse bloccato subito i pagamenti.

La motivazione del Collegio

Il Collegio muove dalla disciplina dell’utilizzo fraudolento dettata dal d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). Richiamando la decisione del Collegio di coordinamento n. 3498/2012, si ribadisce che il regime probatorio è ispirato al principio del rischio d’impresa: i rischi statisticamente prevedibili restano sull’intermediario, che può ribaltarli sulla massa degli utenti.

L’art. 10 del d.lgs. n. 11/2010 impone al prestatore una sequenza precisa: provare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni e l’assenza di inconvenienti; poi il comportamento gravemente colposo o doloso dell’utente, anche per presunzioni. La prova dell’autenticazione è antecedente logico rispetto a quella della colpa.

Nel caso concreto l’intermediario ha prodotto i log delle notifiche PUSH, i dettagli dei pagamenti e il riconoscimento dell’elemento biometrico, oltre agli SMS di esito inviati all’utenza del cliente. Il Collegio ritiene così provata l’autenticazione e compliant con la SCA il sistema adottato, in linea con quanto già affermato su evidenze documentali analoghe.

Il Collegio qualifica quindi la vicenda come fenomeno di Caller ID spoofing. Pur non contestando la riferibilità del numero ai propri contatti, l’intermediario ha evidenziato l’assenza di chiamate in uscita verso il cliente. Il ricorrente, dal canto suo, non ha allegato il registro chiamate a riprova della telefonata ricevuta.

Il Collegio di Torino ricorda di aver accolto in passato ricorsi di vittime di spoofing, valorizzando l’insidiosità della tecnica e il rischio d’impresa (decisioni n. 6054/2021, n. 10578/2021 e n. 10870/2021). Tuttavia, in tema di colpa grave, l’orientamento condiviso dei Collegi ritiene che la mancata allegazione della chiamata ricevuta determini il rigetto: non è possibile verificare se il mittente sia riconducibile all’intermediario e dunque se vi sia un legittimo affidamento dell’utente.

Il Collegio esclude inoltre un obbligo di monitoraggio delle operazioni sospette e rileva che due delle cinque richieste di autorizzazione sono state bloccate dal sistema antifrode. Il ricorso è pertanto non accolto.