Truffa social hacking senza rimborso PSD se il cliente autorizza il bonifico (ABF Collegio di Bologna n. 1305 del 13.02.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta e autenticata per intero dal titolare dello strumento, con inserimento dell’ordine e di tutti i fattori di autenticazione, è operazione autorizzata ai sensi dell’art. 5 d.lgs. n. 11/2010, anche quando la volontà del pagatore sia stata viziata dal raggiro di un terzo. In tal caso non opera il regime di responsabilità del prestatore di servizi di pagamento per le operazioni non autorizzate e non sussiste l’onere per l’intermediario di provare la corretta autenticazione a doppio fattore. Resta salva, sul piano del diritto comune, una responsabilità concorrente del PSP quando emerga un concreto apporto causale dell’intermediario alla frode, da valutarsi in giudizio sintetico sulla condotta complessiva. La colpa grave del cliente che esegua le istruzioni dei truffatori esclude però il rimborso e la connessa domanda risarcitoria.

Il Fatto

Il ricorrente riceveva un SMS, apparentemente riconducibile alla banca, che lo avvisava di un tentativo di accesso anomalo al suo internet banking e lo invitava a contattare un numero indicato in calce. Chiamato il numero, un sedicente operatore lo induceva a eseguire alcune procedure per “bloccare” il conto: tra queste, un bonifico di euro 3.300,00 verso un soggetto sconosciuto, disposto tramite l’app installata sul telefono e autorizzato con il PIN.

Resosi conto della truffa, il cliente bloccava le carte ma non riusciva a revocare il bonifico, già oltre il cut-off. Chiedeva quindi all’Arbitro il rimborso della somma e il risarcimento dei danni morali e materiali, lamentando una non adeguata gestione della sicurezza informatica da parte dell’intermediario. La banca resisteva sostenendo che l’operazione era stata eseguita e autenticata personalmente dal cliente con autenticazione forte, e invocando la colpa grave del ricorrente.

La motivazione del Collegio

Il Collegio ricostruisce la fattispecie come un caso di social hacking: il truffatore, fingendosi operatore, ha indotto il cliente a disporre personalmente il pagamento. Dagli atti e dalla denuncia risulta pacifico che il bonifico sia stato inserito e autenticato dal ricorrente tramite la app sul proprio telefono. Manca dunque il requisito del consenso non viziato? No: il consenso c’è, sia pure frutto di raggiro.

Richiamando l’orientamento condiviso dei Collegi, il Collegio afferma che l’operazione eseguita per intero dal pagatore è autorizzata e sottratta al regime di protezione del d.lgs. n. 11/2010. Non è configurabile una responsabilità oggettiva del PSP, che non aveva alcuna possibilità di accorgersi della truffa. Viene citata, tra le altre, la decisione del Collegio di Milano n. 3280/2023.

Il Collegio precisa poi che, secondo gli orientamenti più recenti (Collegio di Milano n. 4567/2022 e n. 2281/2024, Collegio di Napoli n. 329/2024, Collegio di Bologna n. 1730/2024, Collegio di Roma n. 1655/2025), può comunque venire in rilievo una responsabilità concorrente del PSP per violazione dei doveri informativi, di correttezza e di protezione, ai sensi degli artt. 1176, comma 2, e 1375 c.c., quando emerga un apporto causale dell’intermediario. Il Collegio di Coordinamento n. 8671/2024 ha del resto ammesso il risarcimento ex art. 1218 c.c. per i pagamenti autorizzati, in caso di negligenza dell’intermediario.

Nel caso concreto, tuttavia, il Collegio non ravvisa alcun apporto causale della banca. Gli SMS truffaldini presentano incongruenze (mittente non identificabile, alternanza tra “tu” e “Lei”, numero di cellulare non riconducibile alla resistente). La telefonata è durata circa due ore, tempo sufficiente perché un utente di media diligenza si accorgesse della truffa. La frode non era così sofisticata da non poter essere sventata, e non risultano integrati gli indicatori di anomalia del DM 112/2007. Gli obblighi di sicurezza e protezione ex art. 8 d.lgs. n. 11/2010 appaiono correttamente adempiuti.

Il Collegio conclude per la colpa grave del ricorrente e rigetta la domanda di rimborso; respinge anche la domanda risarcitoria, priva di idoneo supporto probatorio.