Truffa con caller ID spoofing e concorso di colpa del cliente (ABF Collegio di Torino n. 338 del 16.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento assolve l’onere probatorio dell’art. 10 del d.lgs. n. 11/2010 quando dimostra, con evidenze informatiche, l’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione. Accertata la Strong Customer Authentication, la condotta dell’utente che abbia dato seguito alle istruzioni di un terzo frodatore va valutata ai fini della colpa grave. In caso di caller ID spoofing, la provenienza apparentemente genuina della chiamata non esclude di per sé la colpa dell’utente, ma la sua sofisticatezza va bilanciata con il grado di collaborazione prestata alla frode. Ove emerga un concorso di colpa, questo è rilevante ai sensi dell’art. 1227 c.c. e giustifica una riduzione del rimborso.

Il Fatto

La ricorrente riceveva una telefonata da un numero riconducibile all’intermediario. Un sedicente operatore la informava di operazioni sospette sul conto e la induceva a generare codici token tramite l’app della banca, comunicandoli telefonicamente. Il conto risultava effettivamente bloccato. Nel pomeriggio il contatto si ripeteva, con fornitura di un nuovo PIN per l’accesso all’area riservata. Solo il giorno successivo la cliente apprendeva di essere stata vittima di una truffa: dal conto erano stati eseguiti due bonifici istantanei non autorizzati, di € 1.370,00 e € 9.750,00, verso lo stesso beneficiario.

Esperito il reclamo, negativamente riscontrato, la ricorrente adiva l’ABF chiedendo la restituzione di € 11.120,00. L’intermediario eccepiva la colpa grave della cliente, che aveva autorizzato le operazioni tramite token installato sul proprio dispositivo, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio richiama il regime probatorio dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, ispirato al principio del rischio d’impresa secondo la posizione consolidata dell’ABF (Collegio di coordinamento n. 3498/2012). Il prestatore deve provare in sequenza l’autenticazione e la corretta registrazione dell’operazione, quale antecedente logico rispetto alla prova della colpa grave dell’utente.

Nel merito, la banca ha documentato con log informatici l’accesso all’home banking tramite codice cliente, data di nascita e pin, nonché l’autorizzazione delle singole operazioni mediante codice token generato in app. Il token risultava attivo dal 14.06.2023, quindi da tempo prima della frode. Il Collegio ritiene così raggiunta la prova dell’autenticazione multifattoriale, della registrazione e della contabilizzazione. Quanto al giroconto prodromico alla provvista, richiama il principio della decisione del Collegio di coordinamento n. 8671/2024, secondo cui i pagamenti tra conti dello stesso utente possono essere sottratti all’obbligo di SCA.

Accertata l’autenticazione, resta da valutare la colpa grave. Il Collegio qualifica la vicenda come fenomeno di caller ID spoofing e sender ID spoofing: la chiamata proveniva da un numero riconducibile all’intermediario e gli sms si inserivano in una chat recante il nome della banca. Secondo l’orientamento condiviso dei Collegi territoriali, in caso di spoofing la colpa grave non è di regola ravvisabile, salvo indici di anomalia.

Nel caso concreto, tuttavia, la ricorrente ha collaborato attivamente alla frode, dando seguito alle istruzioni del terzo e accettando le richieste di autorizzazione dei bonifici. Il Collegio bilancia la sofisticatezza della manipolazione con il grado di collaborazione prestata in passaggi decisivi. Ritiene pertanto sussistente un concorso di colpa ai sensi dell’art. 1227 c.c., valutato nella misura del 50%.

Il Collegio accoglie quindi parzialmente il ricorso e dispone il pagamento di € 5.560,00, oltre al rimborso di € 20,00 e al contributo di € 200,00 in favore della Banca d’Italia. Dichiara inammissibili le domande di interessi e spese, proposte per la prima volta in sede di repliche (Collegio di Torino n. 11247/2024).