Truffa via social hacking e colpa grave del correntista nei bonifici autorizzati (ABF Collegio di Bologna n. 2639 del 23.03.2026)

Principi di diritto (Massima)
Quando il pagamento è integralmente eseguito dal titolare dello strumento, con inserimento della disposizione e dei fattori di autenticazione, l’operazione deve considerarsi autorizzata ai sensi dell’art. 5 del d.lgs. n. 11/2010, restando esclusa l’applicazione del regime speciale previsto per le operazioni non autorizzate di cui agli artt. 10 e ss. Il fatto che il consenso sia stato viziato da raggiri non trasforma l’operazione in non autorizzata ai sensi della normativa PSD2. Resta ferma, in astratto, la possibilità di accertare una responsabilità dell’intermediario ai sensi dell’art. 1218 c.c., qualora emerga un inadempimento agli obblighi di diligenza e protezione. Tuttavia, la ravvicinatezza temporale di più disposizioni, in assenza di ulteriori elementi sintomatici, non impone il blocco automatico delle operazioni; e la grave imprudenza del cliente, che abbia seguito istruzioni telefoniche di un soggetto non verificato, risulta assorbente rispetto a eventuali profili residuali di responsabilità dell’intermediario.

Il Fatto

La ricorrente chiede il rimborso di euro 3.580,00, pari a due bonifici istantanei di euro 1.790,00 ciascuno, eseguiti il 22 luglio 2025 e asseritamente frutto di una truffa mediante tecnica di social hacking. Espone di aver ricevuto un SMS inserito nella chat contenente le comunicazioni dell’intermediario, con cui le veniva segnalata la presa in carico di un’operazione di pari importo. Non avendo disposto alcuna operazione, contattava il numero di rete fissa indicato nel messaggio e interloquiva con un sedicente operatore bancario, che la induceva a effettuare due bonifici per “recuperare” le somme, rassicurandola sulla legittimità della procedura.

L’intermediario si costituisce chiedendo il rigetto del ricorso. Deduce che le operazioni sono state integralmente disposte dalla ricorrente tramite app mobile banking, con accesso mediante UID e PIN e autenticazione tramite MPIN nel rispetto dei requisiti di Strong Customer Authentication; che i log attestano l’accesso alle ore 15:22, un primo bonifico alle 15:26 (poi respinto) e i due bonifici contestati alle 15:30 e 15:43; che non ricorrono indicatori di anomalia ex D.M. n. 112/2007; che il messaggio “civetta” presentava caratteri generici; e che è stato tentato il richiamo delle somme, senza esito. Nelle repliche la ricorrente insiste sull’anomalia dei due bonifici di pari importo in breve lasso temporale e deduce l’assenza di colpa grave a proprio carico.

La motivazione del Collegio

Il Collegio opera anzitutto una qualificazione della fattispecie. Dalla documentazione in atti, e in particolare dai log prodotti dall’intermediario, risulta che l’accesso all’app è avvenuto mediante inserimento del PIN personale, che le disposizioni sono state confermate mediante MPIN, che le operazioni sono state eseguite dal dispositivo associato alla ricorrente e che sussiste continuità temporale tra accesso e disposizioni. La stessa ricorrente, nella denuncia, riconosce di aver materialmente disposto i bonifici, seppur indotta in errore da soggetti terzi.

Su questa base il Collegio richiama l’orientamento consolidato dell’Arbitro: quando il pagamento è integralmente eseguito dal titolare dello strumento, con inserimento della disposizione e dei fattori di autenticazione, l’operazione è autorizzata ai sensi dell’art. 5 del d.lgs. n. 11/2010, con esclusione del regime speciale delle operazioni non autorizzate degli artt. 10 e ss. Il vizio del consenso per raggiri non muta tale qualificazione. Resta in astratto esperibile il percorso della responsabilità contrattuale ex art. 1218 c.c., ma nel caso concreto non emergono elementi idonei a configurare una negligenza qualificata dell’intermediario: nessun malfunzionamento dei sistemi, operazioni correttamente autenticate secondo i presidi SCA, importi contenuti entro i massimali contrattuali, assenza di indicatori di anomalia e tentativo di richiamo delle somme.

Quanto alla ravvicinatezza temporale delle disposizioni (18 minuti), il Collegio ritiene che tale circostanza, in assenza di ulteriori elementi sintomatici, non sia di per sé idonea a imporre il blocco automatico delle operazioni.

Il Collegio ravvisa invece profili di grave imprudenza a carico della ricorrente: ha disposto più bonifici di identico importo in favore di terzi con causale “restituzione”, ha aderito a istruzioni telefoniche provenienti da soggetto non previamente verificato, ha modificato le proprie credenziali su indicazione del sedicente operatore e non ha effettuato verifiche autonome mediante i canali ufficiali. Pur riconoscendo l’insidiosità dello spoofing e del vishing, la frode non era inevitabile per un utente mediamente diligente. Il fatto colposo della ricorrente è pertanto assorbente e il ricorso non è accolto.