Spoofing e vishing: concorso di colpa del cliente e responsabilità dell’intermediario (ABF Collegio di Milano n. 1695 del 24.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento on-line disconosciute, l’autenticazione forte del cliente (SCA) non esclude di per sé la responsabilità del prestatore di servizi di pagamento, ma costituisce il presupposto logico per valutare la colpa grave dell’utilizzatore. Quando la frode si realizza mediante spoofing misto a vishing e il cliente, indotto dall’inserimento del messaggio civetta nella chat genuina dell’intermediario, esegue l’operazione ritenendo di compiere uno storno, la transazione non può considerarsi compiuta personalmente dal pagatore e resta applicabile il regime di responsabilità della PSD2. Sussistono tuttavia profili di colpa grave del cliente ove emergano elementi oggettivi di riconoscibilità dell’inganno, come la differenza dell’impostazione sintattica rispetto ai messaggi autentici e la non riconducibilità del numero di telefono a un’utenza dell’intermediario. Il danno va pertanto ripartito secondo il concorso di colpa ex art. 1227 cod. civ..

Il Fatto

La ricorrente riferisce di aver ricevuto un sms apparentemente proveniente dall’intermediario, che la informava di un pagamento di euro 3.950,00 e la invitava a contattare un numero per assistenza. Chiamato il numero, un sedicente operatore dell’ufficio antifrode le prospettava un accesso illecito al conto e, in una seconda telefonata serale, la induceva a eseguire un’operazione di storno. In realtà veniva disposto un bonifico verso un istituto diverso e a favore di una persona sconosciuta.

La cliente disconosceva l’operazione e chiedeva il rimborso integrale di euro 3.950,00 oltre interessi, sostenendo l’assenza di propria colpa e contestando i presidi di sicurezza della banca. L’intermediario eccepiva che l’operazione era stata autenticata tramite SCA sull’app installata sul dispositivo della cliente, senza anomalie, e che il bonifico era stato richiamato senza esito per assenza di fondi.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della PSD2, soffermandosi sugli obblighi di diligenza dell’utilizzatore e sui presidi di strong customer authentication richiesti dagli artt. 97 e 98 della direttiva e dall’art. 10-bis del d. lgs. n. 11/2010.

Sul piano probatorio, il Collegio richiama l’orientamento uniforme dei Collegi: l’operazione non è autorizzata per il solo fatto di essere stata eseguita, perché la normativa speciale prescinde dalla nozione civilistica di consenso. Se il pagamento è preparato dal truffatore che dispone dei codici del cliente, la transazione non può ritenersi eseguita per intero dal pagatore. Nella specie, pertanto, si esclude che l’operazione sia stata compiuta personalmente dalla ricorrente.

Quanto all’accesso in app, risultano utilizzati due fattori: l’impronta digitale (inerenza) e il PIN (conoscenza). L’incongruenza sul modello del dispositivo viene superata dalle dichiarazioni della cliente nelle denunce, ove conferma di aver seguito le istruzioni “attraverso l’app”. Anche la fase dispositiva è conforme a SCA, per il riutilizzo del fattore di inerenza nella medesima sessione, conformità riconosciuta dall’EBA (Q&A 2018_4141 e Q&A 2020_5516).

Accertata la conformità a SCA, il Collegio valuta la colpa grave (cfr. Coll. coord., dec. n. 22745/2019). La fattispecie è qualificata come spoofing misto a vishing: l’inserimento del messaggio civetta nella chat dell’intermediario ha abbassato la soglia di attenzione, ma la diversa impostazione sintattica rispetto ai messaggi genuini e l’estraneità del numero di telefono constituiscono elementi di riconoscibilità dell’inganno. Il Collegio ravvisa quindi un concorso di colpa ex art. 1227 cod. civ., imputando 2/3 alla ricorrente e 1/3 all’intermediario. Accoglie parzialmente il ricorso e dispone il pagamento di euro 1.317,00, oltre interessi legali dal reclamo.