Truffa da smishing e bonifico disposto dal cliente (ABF Collegio di Roma n. 2673 del 23.03.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2, anche se il pagatore ha agito seguendo le indicazioni del frodatore senza la consapevolezza di disporre una transazione (c.d. operazioni sotto dettatura). In tali casi non è configurabile una responsabilità oggettiva del PSP. Il concorso di colpa dell’intermediario può essere ravvisato, secondo le norme di diritto comune, solo quando dalla documentazione emerga in concreto un apporto causale dello stesso alla frode. Una volta divenuto irrevocabile l’ordine ai sensi dell’art. 17, primo comma, d.lgs. n. 11/2010, il rimborso è subordinato al buon esito della procedura di recall, che presuppone il consenso del beneficiario e non può essere disposto in caso di fondi insufficienti.

Il Fatto

La ricorrente riferisce di aver ricevuto un sms da un numero privato che, preannunciando una richiesta di pagamento, la invitava a contattare un numero antifrode. Dopo aver chiamato e riagganciato, veniva ricontattata da un sedicente operatore della banca che, prospettando un tentativo di prelievo da bloccare, la guidava nella consultazione della home banking e le forniva i dati per disporre un bonifico di € 4.890,00, presentato come storno dell’operazione sospetta.

Compresa la frode, la ricorrente contattava il numero verde, ma le veniva riferito che, superato l’orario di cut-off delle ore 20:00, non era possibile bloccare l’operazione. Il giorno successivo si recava in filiale per il richiamo del bonifico, senza esito per mancanza di fondi. Chiedeva quindi il rimborso integrale e, in subordine, il riconoscimento di una corresponsabilità della banca.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile, rilevando che l’operazione dell’11 settembre 2025 è successiva all’entrata in vigore della direttiva (UE) 2015/2366 e del Regolamento Delegato (UE) n. 2018/389. Le norme del d.lgs. n. 11/2010 in materia di misure di sicurezza, come modificate dal d.lgs. n. 218/2017, hanno efficacia dal 14.09.2019 e risultano pertanto applicabili alla vicenda.

La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non abbia predisposto un sistema di autenticazione forte (SCA). Il Collegio richiama l’art. 12, comma 2-bis, d.lgs. n. 11/2010, secondo cui il pagatore non sopporta alcuna perdita se il prestatore non esige l’autenticazione forte, e la definizione di cui all’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010, integrandola con l’Opinion dell’EBA del 21 giugno 2019.

Su questa base il Collegio applica l’orientamento condiviso tra i Collegi: quando l’operazione è eseguita per intero dal pagatore, deve considerarsi autorizzata e non soggetta al regime PSD2. Vi rientrano le operazioni eseguite seguendo le indicazioni del frodatore, senza consapevolezza di disporre una transazione. Non è dunque configurabile una responsabilità oggettiva del PSP, salvo che emerga un apporto causale dell’intermediario, come nei casi di mancata disponibilità del numero verde, di mancata identificazione del tentativo di frode da parte del dipendente o di mancato rilievo di indici di frode.

Nel caso concreto, dall’istruttoria è emerso che non risultano sms truffaldini provenienti dal canale ufficiale della banca; la ricorrente ammette di aver disposto in prima persona l’operazione. Il Collegio esclude pertanto un concorso di colpa, ravvisando una esclusiva responsabilità della ricorrente per aver dato seguito con ingenuità alla truffa, richiamando Collegio di Roma, decisione n. 6534/2024 e Collegio di Roma, decisione n. 7622 del 1.08.2025.

Quanto al recall, una volta che l’ordine è divenuto irrevocabile ai sensi dell’art. 17, primo comma, d.lgs. n. 11/2010, il rimborso è subordinato al buon esito della procedura, che presuppone il consenso del beneficiario e non può essere disposto in caso di fondi insufficienti. Il Collegio respinge quindi il ricorso.