Corresponsabilità banca e cliente nella perdita per SMS spoofing e vishing (ABF Collegio di Torino n. 108 del 08.01.2026)

Principi di diritto (Massima)
Nel fraudolento utilizzo di servizi di pagamento, ai sensi dell’art. 10 del d.lgs. n. 11/2010, grava sull’intermediario la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non si siano verificati malfunzionamenti. Fornita tale prova mediante evidenze informatiche conformi alla Strong Customer Authentication, la perdita resta a carico dell’utilizzatore solo se questi abbia agito in modo fraudolento o gravemente colposo, ai sensi dell’art. 12, comma 4, del d.lgs. n. 11/2010. Ove la condotta del cliente sia negligente ma non integrante la colpa grave, e sussistano al contempo criticità organizzative del servizio di pagamento, il Collegio ravvisa un concorso di colpa e ripartisce la perdita in proporzione alle rispettive negligenze.

Il Fatto

Il ricorrente, con i cointestatari del conto corrente, disconosceva due bonifici disposti tramite home banking per complessivi € 10.150,00, pari a € 9.900,00 e € 250,00. La vicenda traeva origine da una frode telematica avviata con un sms civetta, apparentemente proveniente dall’emittente della carta di credito collegata al conto.

Secondo la ricostruzione del cliente, questi avrebbe avvertito subito la propria agenzia, chiedendo di non autorizzare eventuali bonifici, ma l’addetto non avrebbe disposto il blocco del conto. L’intermediario eccepiva invece la colpa grave del ricorrente, l’attivazione di un nuovo dispositivo mobile con procedura conforme alla SCA e l’invio di un sms di comunicazione, oltre a numerose campagne informative sulla clientela. Chiedeva quindi il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dal riparto probatorio fissato dalla disciplina di recepimento della direttiva (UE) 2015/2366. Poiché il consenso del pagatore è elemento necessario dell’operazione autorizzata, spetta all’intermediario dimostrare l’avvenuta autenticazione e la regolarità della registrazione. Nel caso concreto l’intermediario ha prodotto le evidenze informatiche relative all’enrollment della App e alle singole operazioni, descrivendo i fattori di conoscenza e di possesso utilizzati. La procedura è risultata conforme alla SCA, coerentemente con l’orientamento espresso in precedenti decisioni dello stesso Collegio e di altri collegi territoriali.

Superata la prova posta a carico della banca, l’attenzione si sposta sul comportamento dell’utente e sull’applicazione dell’art. 12 del d.lgs. n. 11/2010. Il Collegio riconosce nella vicenda i tratti della truffa sofisticata: gli sms civetta risultavano inseriti nella medesima cronologia di messaggi genuini e accanto ad essi comparivano sms di storno, indice dell’insidiosità dell’artificio.

Tuttavia il Collegio ravvisa anche una condotta negligente del ricorrente. Questi ha prestato fede, senza alcuna verifica, a una chiamata proveniente da utenza non riconducibile all’intermediario e ha disinstallato, su indicazione del sedicente operatore, la App della banca. Il registro delle chiamate prodotto non consente di ricostruire con esattezza la sequenza cronologica delle comunicazioni, sicché resta controversa la tempestività dell’avviso all’agenzia.

Su queste basi il Collegio afferma il concorso di colpa: da un lato la condotta dell’utente che ha agevolato la truffa, dall’altro le criticità organizzative del servizio di pagamento. La ripartizione è fissata in 1/3 in capo all’intermediario e in 2/3 in capo al cliente. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di € 3.383,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.