Truffa telefonica con spoofing e concorso colposo del cliente nella responsabilità dell’intermediario (ABF Collegio di Milano n. 3536 del 22.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la presenza dei log informatici che attestano l’autenticazione forte non esime il Collegio dal valutare il concorso colposo del cliente. Quando la truffa sia riconducibile a una condotta di spoofing, con compromissione dei canali di comunicazione dell’intermediario con la clientela, il giudizio sulla colpa grave del ricorrente va attenuato. La causazione dell’evento dannoso si ripartisce pertanto tra le parti in proporzione di due terzi a un terzo, in applicazione dell’art. 1227, primo comma, cod. civ., con conseguente accoglimento solo parziale della domanda di rimborso.

Il Fatto

Il ricorrente riferisce di aver ricevuto un sms dal numero ufficiale dell’intermediario, contenente un codice per autorizzare un bonifico. Veniva poi contattato da un’utenza che si presentava come operatore dell’intermediario e lo invitava ad accedere all’app e al browser per bloccare l’operazione, inserendo un codice che consentisse all’interlocutore di accedere da remoto al computer. Poiché la successiva telefonata non giungeva, il cliente accedeva all’app e scopriva di essere stato truffato, con un bonifico di € 4.900,99 eseguito verso un IBAN e un beneficiario a lui estranei.

Il ricorrente domandava quindi il rimborso dell’intera somma. L’intermediario resisteva sostenendo che le evidenze tecniche dimostravano l’esecuzione della transazione tramite browser e la sua autorizzazione mediante notifica push e inserimento del token, con il necessario contributo del cliente, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

La controversia riguarda un’operazione di bonifico contestata, di € 4.900,99, eseguita il 23/01/2025. Il Collegio richiama il quadro normativo applicabile ratione temporis, costituito dal D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. n. 218/17 di attuazione della direttiva PSD II, ed esamina i log informatici prodotti dall’intermediario.

Dall’esame dei log risulta la presenza del codice CONTROLLOPINMAPELLUM, che indica l’avvenuto inserimento del PIN, elemento di conoscenza, e il riferimento al token, con i campi UPDATETOKEN e CONTROLLO TOKEN VASCO OK, che confermano l’elemento di possesso. Sotto il profilo dell’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione risultano dunque documentate.

Il Collegio passa poi a valutare la condotta delle parti e i profili rilevanti per la sussistenza della colpa, prendendo in esame l’sms civetta prodotto dal ricorrente. La denominazione della chat è riferibile all’intermediario ed è presente un messaggio genuino successivo. Quanto agli errori grammaticali, si segnala la sola mancanza dello spazio dopo il punto fermo. Il messaggio conteneva tuttavia un numero di telefono fisso non riferibile all’intermediario convenuto.

La truffa oggetto della cognizione è pertanto riconducibile al tipo dello spoofing. Ciò induce il Collegio ad attenuare il giudizio sulla colpa grave del ricorrente, alla quale va comunque ricondotta la causazione dell’evento dannoso in una proporzione di due terzi a un terzo. La riduzione tiene conto dell’efficacia eziologica della compromissione dei canali di comunicazione dell’intermediario con la clientela, in applicazione dell’art. 1227, primo comma, cod. civ.

Il Collegio accoglie quindi parzialmente il ricorso e dispone che l’intermediario corrisponda al ricorrente la somma di € 1.634,00, oltre al rimborso di € 20,00 per la somma versata alla presentazione del ricorso, e alla Banca d’Italia la somma di € 200,00 quale contributo alle spese della procedura.