Truffa via smishing e spoofing: colpa grave del cliente e concorso dell’intermediario (ABF Collegio di Palermo n. 518 del 21.01.2026)

Principi di diritto (Massima)
Nelle frodi realizzate mediante smishing e sms spoofing, il prestatore di servizi di pagamento è tenuto a dimostrare l’adozione della Strong Customer Authentication nelle fasi di enrollment del dispositivo, di accesso all’home banking e di autorizzazione delle singole operazioni. Ove tale prova sia fornita, la colpa grave del cliente assume rilievo autonomo e si desume dalla condotta di chi, cliccando sul link contenuto nel messaggio civetta e inserendo le credenziali, trascuri i molteplici avvisi dell’intermediario. Al concorso di colpa dell’intermediario, che non eserciti la facoltà di sospensione delle operazioni sospette prevista dal contratto quadro, consegue il rimborso delle somme disconosciute nella misura del 20 per cento.

Il Fatto

Il ricorrente chiede la restituzione di € 11.500,00, importo di un bonifico online eseguito fraudolentemente sul proprio conto corrente. Egli riferisce di aver ricevuto un SMS, incanalato nella conversazione genuina con l’intermediario, che lo avvisava di un bonifico in uscita e lo invitava a contattare un numero indicato nel messaggio. Contattato il numero, un sedicente operatore lo induceva a collegarsi all’home banking tramite un link trasmesso con un ulteriore SMS e a inserire i codici di accesso su un sito con la medesima interfaccia di quello della banca.

Chiusa bruscamente la chiamata, il ricorrente apprendeva di essere stato vittima di una truffa e che erano stati disposti due bonifici, di € 11.500,00 e di € 4.600,00. La richiesta di blocco inviata a mezzo PEC alle 20:34 consentiva di impedire solo il secondo bonifico. L’intermediario chiede il rigetto, sostenendo la colpa grave del ricorrente e l’avvenuta autenticazione forte delle operazioni. Il ricorrente lamenta anche il tardivo blocco del primo bonifico e l’anomalia degli importi rispetto all’usuale operatività del conto.

La motivazione del Collegio

Il Collegio muove dalla verifica dell’adozione della SCA, disciplina applicabile ai sensi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. L’autenticazione deve sussistere nella fase di enrollment del device, di accesso allo strumento di pagamento e di autorizzazione delle singole operazioni. Quanto alla registrazione del dispositivo, le evidenze attestano l’inserimento del codice utente e della password, seguiti dall’invio di un codice OTP al recapito telefonico del ricorrente e dal suo inserimento nella pagina di validazione: il doppio fattore, conoscenza e possesso, risulta rispettato.

Allo stesso modo, l’accesso all’home banking è avvenuto con codice utente e password alfanumerica, senza richiesta di OTP perché il dispositivo era già stato validato come trusted device. Tale deroga è consentita dall’art. 10 del Regolamento delegato (UE) 2018/389. Anche la disposizione del bonifico è stata completata mediante inserimento della password OTP inviata al device del cliente, con la precisazione che i codici sono associati a un’azione specifica. La prova dell’autenticazione è dunque fornita e costituisce il prius logico rispetto alla valutazione della colpa grave, secondo l’orientamento del Collegio di Coordinamento n. 22745/2019.

Passando alla colpa, il Collegio rileva che il messaggio civetta si è inserito nella chat ufficiale dell’intermediario e non presenta sgrammaticature evidenti, ma lascia emergere indici di anomalia sintattica e un link solo parzialmente riconducibile alla banca. In linea con l’orientamento dei Collegi, nelle fattispecie di spoofing non è di regola ravvisabile la colpa grave, salvo che emergano indici di inattendibilità del messaggio. Nel caso concreto, tuttavia, il ricorrente ha volontariamente cliccato sul link, ha inserito le credenziali e ha trascurato i sette SMS di avviso e gli SMS parlanti, equivalenti a un sistema di alert.

Il Collegio ritiene pertanto sussistente la colpa grave del ricorrente in via prevalente. Non manca però un concorso colposo dell’intermediario: questi non ha esercitato la facoltà di sospendere le operazioni, prevista dall’accordo quadro al ricorrere di un giustificato motivo connesso con la sicurezza, nonostante i plurimi avvertimenti. Quanto al lamentato tardivo blocco, la doglianza non è accolta, perché il bonifico era diretto a un conto acceso presso il medesimo intermediario ed era stato eseguito immediatamente, prima della PEC delle 20:34.

In applicazione del riparto di responsabilità, in continuità con il proprio orientamento (Collegio di Palermo n. 495/2025), il Collegio accerta una responsabilità dell’intermediario nella misura del 20 per cento e dispone il rimborso di € 2.300,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla ricorrente.