Spoofing del numero bancario e concorso di colpa del cliente nella truffa (ABF Collegio di Milano n. 438 del 20.01.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte dal cliente sotto l’effetto decettivo di un impersonation scam restano autorizzate e non rientrano nel regime dell’art. 10 del D.lgs. n. 11/2010, ove l’intermediario provi l’autenticazione forte tramite protocollo 3DS, riconoscimento biometrico e notifica push confermata in app. La condotta del cliente che, ingannato da un numero telefonico artefatto, confermi più operazioni può essere valutata con attenuazione quando l’ID caller spoofing e la compromissione dei sistemi informativi dell’intermediario abbiano avuto un apporto causale rilevante. In tal caso la responsabilità si ripartisce secondo l’art. 1227 c.c., con conseguente riduzione del risarcimento in proporzione al peso causale della vittima.

Il Fatto

La ricorrente riferisce di essere stata contattata al telefono da un sedicente operatore antifrode dell’intermediario, da un numero che, verificato in internet, corrispondeva alla linea di assistenza della banca. Il finto operatore la induceva a confermare una serie di transazioni, presentate come necessarie per bloccare pagamenti sospetti, e a caricare il conto tramite wallet. Le comunicazioni arrivavano nella chat della app dell’intermediario, con messaggi apparentemente genuini e altri artefatti.

Scoperta la truffa, la cliente chiedeva il rimborso integrale e l’esecuzione di accertamenti interni. L’intermediario eccepiva l’irricevibilità del ricorso, sostenendo che le operazioni erano state autorizzate, e invocava la colpa grave della cliente per aver seguito richieste anomale e contraddittorie.

La motivazione del Collegio

Il Collegio esamina i log informatici e rileva che tutte le operazioni contestate risultano autenticate tramite protocollo 3DS, con riconoscimento biometrico e notifica push confermata in app. La procedura è quindi conforme all’art. 10 del D.lgs. n. 11/2010. Le operazioni non possono qualificarsi come non autorizzate, poiché la stessa ricorrente ammette di averle confermate.

Il Collegio ricostruisce però il contesto e qualifica la fattispecie come spoofing, e in particolare come ID caller spoofing. Dalle evidenze emerge che la chat recava la denominazione dell’intermediario, conteneva messaggi genuini antecedenti a quello civetta e presentava errori grammaticali e di punteggiatura nei messaggi truffaldini successivi. La cliente, inoltre, ha dichiarato di aver verificato più volte la riconducibilità del numero all’intermediario durante la telefonata, accorgendosi della natura automatizzata della linea solo a truffa consumata.

Su queste basi il giudizio sulla colpa della ricorrente è attenuato. Il Collegio valorizza l’apporto causale della compromissione dei sistemi informativi dell’intermediario e l’effetto decettivo che ne è derivato. Applica quindi l’art. 1227 c.c. e divide la responsabilità in un terzo a carico dell’intermediario e due terzi a carico della ricorrente.

Quanto alla domanda di accertamenti interni, il Collegio richiama le Disposizioni sui sistemi di risoluzione stragiudiziale delle controversie, che circoscrivono la competenza dell’ABF alle questioni aventi ad oggetto l’accertamento di diritti, obblighi e facoltà. La domanda è pertanto inammissibile sotto questo profilo. Il ricorso è accolto parzialmente, con condanna dell’intermediario al pagamento di € 980,00, oltre al contributo alle spese della procedura e al rimborso del versamento per il ricorso.