Colpa grave del cliente che conferma bonifico bloccato nonostante spoofing (ABF Collegio di Milano n. 2854 del 30.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’onere probatorio posto a carico del prestatore di servizi di pagamento circa l’autenticazione e la registrazione dell’operazione può ritenersi assolto quando i log dimostrino l’impiego del dispositivo abituale del cliente e la corretta esecuzione dei fattori di autenticazione. Tuttavia, ove l’operazione sia stata disposta da terzi mediante tecniche di social engineering e accesso remoto al dispositivo, la relativa convalida da parte del cliente integra colpa grave, con conseguente esclusione del diritto al rimborso. È in particolare indice di colpa grave la conferma, tramite invio di documento di identità, di un bonifico che l’intermediario aveva già bloccato con allerta push ed e-mail recante esplicita dicitura di rischio antifrode. Il ricorso avverso il numero chiamante, per effetto dello spoofing, non è di per sé idoneo a escludere la responsabilità del cliente, né a fondare un obbligo di monitoraggio preventivo in capo all’intermediario.

Il Fatto

Il ricorrente agisce per il rimborso di un bonifico di € 7.499,00 disposto il 2 ottobre 2024, ovvero in subordine nei limiti dell’art. 12, comma terzo, del d.lgs. n. 11/2010. Narra di essere stato contattato il giorno precedente da un soggetto qualificatosi come operatore antifrode dell’intermediario, con numero apparentemente riconducibile alla banca, il quale lo induceva ad accedere al proprio home banking e a condividere lo schermo tramite assistenza remota, rappresentando la necessità di annullare bonifici fraudolenti. Il giorno successivo il sedicente operatore lo ricontattava per completare l’operazione e veniva così eseguito il bonifico di € 7.499,00, dapprima bloccato dai sistemi antifrode e poi confermato dal cliente mediante invio del documento di identità.

L’intermediario resiste sostenendo che l’operazione è stata autenticata con doppio fattore dal dispositivo abituale del cliente, che la banca aveva sospeso il bonifico in via cautelativa e che solo la conferma del cliente ne ha consentito l’esecuzione, con conseguente colpa grave di quest’ultimo.

La motivazione del Collegio

Il Collegio ricostruisce la sequenza della truffa sulla base della denuncia e della documentazione prodotta. Dalla narrazione emerge che l’operazione non è stata integralmente e personalmente eseguita dal ricorrente, ma successivamente convalidata da quest’ultimo, tratto in inganno con tecniche di social engineering.

Sul piano probatorio, i log attestano che il bonifico è stato disposto dal device abituale del cliente, identificato dal relativo codice, con fattore di conoscenza (PIN) e secondo fattore (notifica push autorizzata con riconoscimento biometrico) in fase di accesso, e con OTP in fase di esecuzione. Lo stretto lasso temporale tra accesso ed esecuzione consente di ritenere che l’operazione sia stata autorizzata con riutilizzo di uno dei fattori.

Il Collegio ritiene quindi assolto l’onere della prova posto dalla normativa a carico dell’intermediario, ma individua gli estremi della colpa grave del cliente. Rilevano l’aver consentito l’accesso remoto al proprio dispositivo fornendo il relativo codice, richiesta estranea alla normale operatività del servizio clienti, e soprattutto la mail di conferma del bonifico già bloccato. Quest’ultima, inviata dopo un messaggio che avrebbe dovuto allertare il cliente sull’inverosimiglianza della vicenda, vale come autorizzazione del bonifico: allo stesso erano state inviate push con importo e beneficiario e mail recanti la specificazione di “bonifico a rischio antifrode” e “bonifico sospetto rilevato”.

Quanto alla provenienza della chiamata da un numero riconducibile all’intermediario, il Collegio la reputa non significativa, essendo noto il meccanismo dello spoofing, e rileva che gli SMS prodotti presentano indici di inattendibilità, alternando il “tu” al “lei” e non contenendo alcun messaggio genuino. Sottolinea inoltre che il sistema di monitoraggio è stato attivato, avendo la banca bloccato il bonifico e tentato, senza esito, il recall. Il ricorso è pertanto non accolto.