Spoofing e vishing truffa telefonica con colpa utente e rimborso parziale (ABF Collegio di Torino n. 349 del 16.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento deve provare l’autenticazione dell’operazione, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti, secondo la sequenza dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. Il sistema di autenticazione forte del cliente basato su OTP via SMS e PIN della carta è conforme alla normativa. Quando però l’operazione sia originata da un fenomeno di SMS spoofing seguito da vishing e l’utente abbia contattato direttamente il numero civetta, la responsabilità non è esclusivamente del PSP: configurabile un concorso di colpa dell’utente, liquidato nella misura del 50%.

Il Fatto

La ricorrente, mentre si trovava all’estero, subiva una truffa telefonica conclusasi con un pagamento di € 851,99. In un primo momento l’intermediario le rimborsava la somma, per poi stornarla il 15 maggio 2025. Proponeva quindi reclamo, con esito negativo, e ricorso all’ABF chiedendo la revoca dello storno.

Lamentava di non aver mai condiviso i PIN delle proprie carte, mentre i malfattori erano già in possesso di numeri, scadenze e codici CVV. Aveva condiviso solo un codice “usa e getta”, ricevuto sul telefono, e aveva chiuso la prima chiamata per timore di un inganno, salvo proseguire quando era stata ricontattata da quello che appariva come il numero verde dell’intermediario. L’intermediario, costituitosi, sosteneva che la cliente avrebbe potuto riconoscere la truffa da alcuni elementi del messaggio e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio richiama la disciplina dell’art. 10 del d.lgs. n. 11/2010, che pone a carico del prestatore di servizi di pagamento un onere probatorio graduato: dimostrare l’autenticazione e la corretta esecuzione dell’operazione e, in secondo luogo, il dolo o la colpa grave dell’utente. La prova dell’autenticazione è antecedente logico rispetto a quella della colpa grave. Viene ribadito il principio del rischio d’impresa, richiamando il Collegio di coordinamento, decisione n. 3498/2012.

Sul piano della SCA, l’intermediario ha prodotto i log e il dettaglio del movimento: il pagamento è avvenuto con OTP inviato al numero certificato della cliente e con l’inserimento del PIN della carta. Il Collegio richiama i propri precedenti (Collegio di Torino, dec. 2807/2023 e dec. 5256/2023) e ritiene provata l’autenticazione e conforme alla normativa il sistema adottato, basato su un elemento di possesso (OTP) e un elemento di conoscenza (PIN).

Quanto alla dinamica della frode, dagli atti emerge un fenomeno di SMS spoofing seguito da vishing. Il messaggio civetta appariva nella chat recante la denominazione dell’intermediario e invitava a contattare un numero di cellulare. Gli screenshot delle chiamate confermano una prima telefonata in uscita verso il numero civetta, una seconda da un cellulare di 31 minuti e un terzo contatto da un numero fisso riconducibile all’intermediario, seguito dall’operazione alle ore 20:27. Il Collegio ritiene quindi che non emergano evidenti indizi di inattendibilità del racconto.

Tuttavia, è la stessa ricorrente ad ammettere di aver contattato il numero indicato nell’SMS civetta e di aver così autorizzato il pagamento. Tale condotta esclude che la responsabilità sia attribuibile esclusivamente all’intermediario, che ha comunque provato la regolarità dell’autenticazione. Il Collegio configura pertanto un concorso di colpa del 50% a carico della ricorrente per aver agevolato la truffa con il contatto diretto al numero civetta. Il ricorso è quindi accolto parzialmente, con condanna dell’intermediario a corrispondere € 426,00, oltre al contributo alle spese della procedura e al rimborso del versamento per il ricorso.