Truffa con spoofing e autorizzazione parziale: serve la colpa grave del cliente (ABF Collegio di Bari n. 1275 del 11.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza, l’operazione non può dirsi autorizzata, con conseguente applicazione della disciplina dell’art. 10 d.lgs. n. 11/2010, allorché il concorso dell’utente nella fase dispositiva o autorizzativa sia solo parziale, essendo la disposizione di pagamento e gli altri fattori di autenticazione inseriti da terzi. L’autenticazione forte del cliente (SCA), pur correttamente eseguita e provata dall’intermediario, non è di per sé sufficiente a escludere la responsabilità del prestatore di servizi di pagamento: questi deve provare la frode, il dolo o la colpa grave dell’utilizzatore. La validazione personale della notifica push, dopo una telefonata proveniente da un numero non riconducibile all’intermediario e con la prospettazione di un inesistente rischio di prelievi, integra una negligenza grave del cliente, cui la perdita è integralmente imputabile.

Il Fatto

Il ricorrente riferisce di essere stato contattato, nell’agosto 2025, da un sedicente operatore del servizio antifrode dell’intermediario, che lo avvertiva di un accesso anomalo al conto. Nel corso della telefonata riceveva sull’app una notifica push per autorizzare un pagamento, che rifiutava; in una seconda chiamata, proveniente da un numero fisso apparentemente riconducibile alla filiale, veniva invitato a trasferire il saldo per mettere in sicurezza il conto e ad autorizzare un pagamento di Euro 4.940,00, di poco inferiore al limite giornaliero. Dopo un primo rifiuto, il ricorrente autorizzava l’operazione e solo successivamente comunicava le credenziali di accesso. Chiedeva quindi il rimborso, negato dall’intermediario.

Nel procedimento si costituiva un IMEL, dichiarandosi titolare del rapporto, e chiedeva il rigetto del ricorso per essere l’operazione stata volontariamente autorizzata dal cliente. Il ricorrente insisteva sul metodo dello spoofing e lamentava la mancata attivazione di un sistema di monitoraggio degli indici di frode.

La motivazione del Collegio

Il Collegio affronta anzitutto l’eccezione dell’IMEL secondo cui l’operazione, in quanto autorizzata personalmente, sfuggirebbe alla disciplina delle operazioni non autorizzate. L’eccezione è respinta: secondo l’orientamento condiviso dai Collegi territoriali, l’operazione è autorizzata solo se eseguita per intero dal pagatore, mentre un concorso causale parziale — come l’inserimento di uno solo dei fattori di autenticazione — non basta, perché la disciplina prescinde dalla nozione civilistica di consenso. Nel caso, il ricorrente ha validato la notifica push, ma l’ordine di pagamento risulta predisposto dai frodatori.

Passando alla verifica della SCA, il Collegio rileva che l’IMEL ha provato l’enrollment della carta, la mancata modifica del dispositivo associato e l’utilizzo del fattore di conoscenza. Non ha però dimostrato che l’operazione sia stata autenticata tramite il dispositivo abituale del cliente, perché i log non consentono il confronto. La lacuna è colmata dalle dichiarazioni del ricorrente, aventi natura confessoria ex art. 2730 c.c., con le quali ha ammesso di avere personalmente autorizzato il pagamento: la prova della corretta autenticazione è quindi raggiunta.

Il Collegio richiama la giurisprudenza del Collegio di Coordinamento (decisione n. 3947/2014; decisione n. 22745/2019) e della Cassazione (Cass. n. 2950/2017; Cass. n. 26916/2020): la regolarità formale dell’autenticazione non esonera il prestatore dal provare, anche per presunzioni, la colpa grave dell’utente. Nel caso concreto la condotta del ricorrente è gravemente negligente, perché ha autorizzato un pagamento qualificato nella notifica come “Pagamento E-COMMERCE” seguendo le indicazioni di un soggetto che lo contattava da un numero di cellulare non riconducibile all’intermediario.

Quanto al lamentato difetto di monitoraggio, il Collegio esclude la concorrente responsabilità del prestatore: i due tentativi non andati a buon fine non integrano gli indici di frode dell’art. 8 d.m. n. 112/2007 richiamati. Infine, l’eventuale assenza di un servizio di SMS alert è irrilevante, sia per l’arco temporale ristretto delle operazioni, sia perché la notifica inviata era “parlante”. Il ricorso è pertanto non accolto.