Spoofing telefonico e prova della colpa grave del cliente nell’operazione non autorizzata (ABF Collegio di Palermo n. 1403 del 17.02.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento, l’art. 10 del d.lgs. n. 11/2010 pone a carico dell’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione nonché della frode, del dolo o della colpa grave dell’utente. Il rispetto della strong customer authentication non è di per sé sufficiente a dimostrare la colpa grave, che non può essere desunta dal semplice ossequio alle procedure di sicurezza né dall’apparente assenza di anomalie. Nei casi di caller ID spoofing, in cui la chiamata appare provenire dal numero genuino dell’intermediario, la colpa grave del cliente è di regola esclusa, salvo che risulti da elementi ulteriori. Un alert informativo generico, che avverta solo del rischio di email fraudolente, non integra la prova della colpa grave, perché omette di precisare che anche SMS e telefonate possono apparire provenire dal numero effettivo della banca.

Il Fatto

Il ricorrente, titolare di un conto presso l’intermediario, riceve il 20 maggio 2025 un messaggio che lo avvisa dell’aumento del massimale per i bonifici online e, poco dopo, un ulteriore avviso di un bonifico eseguito per € 19.450. Alle 11:19 riceve una chiamata apparentemente proveniente dalla banca: un sedicente operatore gli chiede se riconosca il pagamento ed egli risponde di non averlo mai autorizzato. Viene rassicurato che l’app sarebbe stata bloccata e che sarebbero stati eseguiti i controlli per la restituzione.

Non ottenuto il rimborso, il ricorrente propone reclamo e poi ricorso all’Arbitro Bancario Finanziario chiedendo la restituzione dell’importo. L’intermediario eccepisce la propria diligenza, il rispetto della SCA e la colpa grave del cliente, rilevando che dalla schermata prodotta risultava un contatto dei truffatori già nella serata del 19 maggio 2025.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e il Regolamento delegato UE 2018/389 in materia di autenticazione forte. La regola sull’onere della prova è improntata al principio di vicinanza della prova e si risolve in una sostanziale inversione rispetto all’art. 2697 c.c.: spetta all’intermediario dimostrare l’autenticazione e la colpa grave dell’utente.

Nel caso concreto la SCA risulta provata. Dai log informatici, non disconosciuti e assistiti dal valore probatorio dell’art. 2712 c.c., emerge che il 19 maggio 2025 fu eseguito l’enrollment di due dispositivi, uno del cliente e uno dei truffatori, con fattori di conoscenza e di possesso correttamente digitati; con le stesse modalità fu disposto l’aumento dei massimali e, il giorno successivo, il bonifico dal dispositivo civetta.

Accertata l’autenticazione, il Collegio esamina la colpa grave. La ricostruzione della truffa — qualificata come spoofing — muove dalla chiamata del 19 maggio, dalla durata di circa venti minuti, e da quella del 20 maggio, con cui i truffatori, spacciandosi per la banca, si sono fatti comunicare i dati necessari. Il Collegio sottolinea che l’intermediario non ha chiarito l’identità del soggetto che aveva contattato il cliente, replicando in modo anodino su un punto essenziale.

Nei casi di spoofing i più recenti orientamenti dei Collegi escludono la colpa grave, salvo elementi ulteriori. Il Collegio distingue lo spoofing dal phishing: solo nel secondo i truffatori si limitano a modificare il nome del mittente, mentre nel primo l’indirizzo o il numero sono quelli effettivi dell’intermediario. Nelle ipotesi di caller ID spoofing manca una traccia scritta e il carattere decettivo della telefonata resta nella sfera del cliente; tuttavia l’art. 10 non consente di addossargli l’onere della prova.

Quanto all’alert inserito nella pagina di login, il Collegio lo ritiene insufficiente: si limita a ipotizzare email con link, senza avvertire che anche SMS e chiamate possono apparire provenire dal numero genuino della banca, e senza prova che il cliente abbia consultato le pagine ulteriori. L’avviso integra al più la colpa lieve, non la negligenza inescusabile richiesta dalla legge. Il ricorso è quindi accolto e l’intermediario è tenuto alla restituzione di € 19.450,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 al ricorrente.