Spoofing e bonifici autorizzati dal cliente escludono la truffa e il rimborso (ABF Collegio di Milano n. 3466 del 20.04.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, sia nella fase dispositiva sia in quella di autenticazione, essa deve considerarsi autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010, con conseguente inapplicabilità del regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/UE e dal medesimo decreto. In tal caso l’intermediario è esonerato dalla prova dell’autenticazione e non è configurabile una sua responsabilità oggettiva. Resta possibile una responsabilità concorrente del PSP secondo le norme di diritto comune, ove emerga un apporto causale dell’intermediario alla produzione del danno. La tecnica di spoofing del mittente, non dipendente da vulnerabilità dei sistemi dell’intermediario e non tecnicamente prevenibile, non integra di per sé tale apporto.

Il Fatto

Il ricorrente riferisce di aver ricevuto un messaggio sul proprio telefono, proveniente dal numero con cui abitualmente comunicava con l’intermediario, che annunciava l’autorizzazione di un pagamento di circa € 5.000,00 e indicava un link per annullarlo. Selezionato il link, accedeva all’area multicanale e, preoccupato, contattava il numero presente nei messaggi, relazionandosi con un soggetto che si qualificava come operatore dell’intermediario.

Questi lo informava di un bonifico disposto a suo nome e lo guidava nell’esecuzione di due operazioni di storno: un primo bonifico di € 1.698,00 e un secondo di € 3.300,00, per un totale di € 4.998,00, verso IBAN e beneficiari sconosciuti, nella convinzione di annullare l’operazione fraudolenta. Appresa la truffa tramite il numero verde, presentava denuncia il 9 ottobre 2025 e chiedeva il rimborso dell’intero importo o della metà. L’intermediario eccepiva che entrambi i bonifici erano stati disposti personalmente dal ricorrente con autorizzazione tramite MPIN e chiedeva il rigetto.

La motivazione del Collegio

Il Collegio concentra l’analisi sulla qualificazione delle due disposizioni. È pacifico, come confermato dallo stesso ricorrente nella denuncia, che entrambi i bonifici sono stati materialmente disposti ed eseguiti per intero dal pagatore, il quale ha inserito autonomamente le disposizioni e i fattori di autenticazione tramite app mobile, sia pure nella convinzione di stornare un’operazione fraudolenta a suo carico.

Da tale premessa discende l’inquadramento giuridico: secondo il consolidato orientamento dei Collegi ABF, l’operazione eseguita per intero dal pagatore è autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010. Ne consegue l’inapplicabilità del regime di responsabilità per le operazioni non autorizzate, e il Collegio non procede alla verifica dell’autenticazione ai sensi degli artt. 10 e seguenti del medesimo decreto.

Il Collegio precisa poi i limiti di tale esonero. L’intermediario non deve provare l’autenticazione e non risponde a titolo oggettivo, ma resta possibile una responsabilità concorrente del PSP su norme di diritto comune, se dalla documentazione emerga un apporto causale dell’intermediario al danno. Nel caso concreto nessuna delle ipotesi rilevanti ricorre: non risulta che il numero verde fosse indisponibile al momento dei fatti, né che il ricorrente si sia rivolto a un dipendente della banca che non abbia identificato il tentativo di frode.

Quanto allo SMS incasellato nella chat ufficiale dell’intermediario, il Collegio lo riconduce a tecniche di spoofing del mittente, che non dipendono da vulnerabilità dei sistemi dell’intermediario e non sono tecnicamente prevenibili da quest’ultimo. Infine, non emergono indici di anomalia tali da imporre un blocco automatico delle transazioni: si tratta di due bonifici eseguiti nella medesima sessione verso IBAN differenti, senza caratteristiche di macroscopica irregolarità rispetto all’operatività ordinaria del ricorrente, come già ritenuto dal Collegio di Milano, decisione n. 9261/2025. Il ricorso non è pertanto accolto.