Spoofing e bonifico in filiale autorizzato: escluso il rimborso per truffa (ABF Collegio di Palermo n. 1799 del 26.02.2026)

Principi di diritto (Massima)
Il bonifico disposto personalmente dal cliente presso lo sportello, con sottoscrizione dell’ordine e indicazione di beneficiario e causale, costituisce operazione autorizzata e correttamente autenticata, anche quando il consenso sia stato carpito mediante raggiro. Essa resta fuori dal perimetro delle transazioni non autorizzate disciplinate dall’art. 12 del d.lgs. n. 11/2010, con la conseguenza che il prestatore di servizi di pagamento non è tenuto al rimborso. L’onere di provare dolo o colpa grave dell’utilizzatore, posto dall’art. 10, comma 2, del d.lgs. n. 11/2010 a carico dell’intermediario, presuppone un’operazione non autorizzata e non è invocabile quando l’ordine provenga direttamente dal cliente. L’autenticazione forte del cliente ex art. 10-bis del d.lgs. n. 11/2010 non è richiesta per le disposizioni impartite de visu allo sportello.

Il Fatto

La ricorrente riferisce di essere stata contattata al telefono da un sedicente consulente dell’ufficio antifrode della banca, con visualizzazione sul display del logo dell’intermediario. L’interlocutore prospettava movimenti anomali sul conto, acquisti di criptovalute e un preteso contatto imminente con la Polizia postale. Poco dopo un sedicente ispettore la convinceva a trasferire euro 13.000,00 mediante bonifico urgente, per mettere al sicuro le disponibilità, con coordinate e causale indicate via sms.

La ricorrente si recava quindi in agenzia ed eseguiva personalmente l’operazione allo sportello, con la propria firma, senza informare i dipendenti. Solo successivamente, recatasi presso gli uffici della Polizia postale, realizzava di essere stata vittima di una truffa. Proponeva ricorso all’ABF chiedendo il rimborso, sostenendo la responsabilità concorrente della banca per non aver protetto i propri sistemi e per non aver considerato la sua condizione di vulnerabilità psicologica. L’intermediario eccepiva la volontarietà della disposizione e l’avvenuto esperimento, senza esito, dell’azione di recall.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. Dalla documentazione in atti, e in particolare dalle dichiarazioni rese in denuncia, emerge che la ricorrente ha personalmente eseguito la procedura presso lo sportello, prestando il proprio consenso all’esecuzione. L’operazione è dunque avvenuta mediante corretta autenticazione e non rientra tra le transazioni non autorizzate.

La conseguenza è l’inapplicabilità del regime di protezione invocato. L’art. 12 del d.lgs. n. 11/2010 sposta la responsabilità sul prestatore di servizi di pagamento in caso di utilizzo fraudolento dello strumento, ma presuppone un utilizzo non autorizzato. Qui l’ordine proviene dall’utilizzatrice stessa, sia pure indotta in errore dai truffatori. Parimenti non operano le regole sull’onere probatorio dell’art. 10, né l’obbligo di autenticazione forte dell’art. 10-bis, previsto per l’accesso a distanza al conto e per le operazioni tramite canale remoto, evenienza estranea a una disposizione impartita de visu allo sportello.

Il Collegio affronta poi il profilo della colpa grave dell’utilizzatrice, richiamando l’art. 7, comma 3, del d.lgs. n. 11/2010, che impone di adottare tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza. La valutazione resta però assorbita: la natura autorizzata dell’operazione esclude in radice l’obbligo restitutorio, rendendo superfluo l’accertamento sulla diligenza.

Quanto alla dedotta responsabilità della banca per la falla nei sistemi di sicurezza e per il caller ID spoofing, il Collegio non la ritiene idonea a fondare il rimborso. L’operazione, correttamente registrata e contabilizzata, è riconducibile alla volontà del cliente; l’intermediario ha inoltre attivato l’azione di recall non appena appresa la notizia della frode, senza ottenere restituzioni. Il ricorso è pertanto non accolto.