Spoofing e truffa: concorso di cliente e banca negli obblighi di protezione (ABF Collegio di Milano n. 3845 del 30.04.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che non produca i log relativi ad alcune transazioni non fornisce la prova della conformità alla strong customer authentication e deve rimborsarne l’integrale controvalore. Per le operazioni autenticate secondo il d. lgs. n. 11/2010, l’accertata conformità della procedura rappresenta il prius logico per valutare la colpa grave dell’utilizzatore: questi risponde del danno quando, seguendo le istruzioni di un finto operatore, abbia contribuito causalmente alla truffa. Alla responsabilità concorrente dell’intermediario per violazione degli obblighi di protezione ex art. 1375 cod. civ., che impongono di rilevare l’operatività abnorme, consegue una riduzione della pretesa in proporzione.

Il Fatto

La ricorrente, dopo l’interlocuzione in fase di reclamo, adisce l’Arbitro Bancario Finanziario deducendo di aver ricevuto il 22.04.2025 una chiamata apparentemente proveniente dall’intermediario, con cui un finto operatore la informava di un accesso anomalo sul conto e la invitava a scaricare una versione aggiornata dell’app e a reimpostare le credenziali del home banking. La cliente seguiva le istruzioni e riceveva una e-mail che confermava la correttezza dell’operazione.

Tre giorni dopo si accorgeva di non poter più accedere al conto e apprese dell’avvenuta modifica del numero di cellulare, di un giroconto di € 35.000,00 dal conto deposito, di numerosi bonifici in uscita e di una richiesta di finanziamento. Sporta denuncia e disconosciute le operazioni, chiedeva il rimborso dell’importo non restituito, oltre agli interessi legali. L’intermediario si costituiva sostenendo la corretta autenticazione delle operazioni e la cooperazione della cliente alla truffa.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d. lgs. n. 11/2010 come modificato dal d. lgs. n. 218/2017, che recepisce la PSD2, soffermandosi sugli obblighi di sicurezza e sugli oneri probatori. La strong customer authentication è richiesta per l’accesso al conto, per la disposizione dei pagamenti e per ogni azione che comporti rischio di frode, e si realizza mediante almeno due fattori indipendenti tra conoscenza, inerenza e possesso. Sul prestatore grava la prova dell’autenticazione; la responsabilità dell’impresa per gli utilizzi fraudolenti è esclusa solo in caso di frode, dolo o colpa grave del cliente.

Le operazioni contestate consistono in undici bonifici istantanei eseguiti tra il 25 e il 26.04.2025, per complessivi € 68.829,98, alimentati in parte da un giroconto e in parte da un finanziamento poi estinto senza oneri. Il giroconto, in quanto volto a costituire la provvista, è esente da SCA ai sensi dell’art. 10-bis d. lgs. n. 11/2010. Rispetto ai bonifici, i log prodotti coprono solo nove degli undici: per i restanti la mancata produzione equivale a mancata prova di conformità, con conseguente diritto all’integrale restituzione.

Per le operazioni documentate, i log dimostrano l’autenticazione mediante codice segreto digitato in app. Il Collegio passa quindi a verificare la colpa grave della cliente, richiamando la decisione del Collegio coordinamento n. 22745/2019. La ricorrente ha ammesso di aver seguito le istruzioni del finto operatore, scaricando l’app e inserendo le nuove credenziali, e ha ricevuto le e-mail di notifica della banca, compresa quella sulla variazione dei recapiti. Tale condotta ha inciso causalmente sul completamento della truffa.

Il Collegio rileva tuttavia l’anomalia dell’operatività: undici bonifici in due giorni, in orario notturno, verso il medesimo beneficiario. Il mancato rilevamento di questa abnormità integra una responsabilità concorrente dell’intermediario per violazione degli obblighi di protezione ex art. 1375 cod. civ., quantificata in un terzo del controvalore delle operazioni. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di € 23.246,00 e al contributo alle spese della procedura.