Spoofing e vishing: operazione autorizzata dal cliente esclude responsabilità della banca (ABF Collegio di Bologna n. 4236 del 12.05.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento risulti integralmente eseguita dal pagatore mediante inserimento della disposizione e dei relativi fattori di autenticazione, essa deve ritenersi autorizzata e sottratta al regime di responsabilità previsto dalla disciplina sui servizi di pagamento. Rientrano in tale ambito anche le operazioni disposte dal cliente su indicazione del frodatore, senza consapevolezza della reale natura dispositiva, le c.d. operazioni sotto dettatura. La banca che provi l’avvenuta applicazione della strong customer authentication non risponde dell’addebito, dovendosi escludere il legittimo affidamento dell’utente in difetto di allegazione del messaggio civetta. Il modulo di disconoscimento delle operazioni, contenente l’esposizione dei fatti e la richiesta di storno, costituisce atto equipollente al reclamo ai fini della procedibilità.

Il Fatto

La ricorrente, titolare di un conto corrente riferibile a una società, riferisce di aver ricevuto un SMS da numero sconosciuto che segnalava un pagamento di euro 899,00 eseguito con la carta di credito aziendale. Contattato il numero indicato nel messaggio, si trovava a dialogare con un sedicente operatore bancario, che chiedeva di interloquire con l’intestatario della carta e, nel corso della conversazione, la induceva ad azioni da cui derivava un ammanco di euro 49.730,00.

Maturai sospetti sull’identità dell’interlocutore, la ricorrente interrompeva la telefonata e contattava l’istituto, apprendendo l’addebito. Chiedeva quindi il rimborso alla banca del beneficiario e poi alla resistente, senza riscontro. L’intermediario eccepiva l’inammissibilità del ricorso per carenza di preventivo reclamo e per asserito frazionamento della domanda, contestava l’applicabilità della PSD2 e deduceva la conformità dell’operazione ai requisiti di autenticazione forte.

La motivazione del Collegio

Il Collegio respinge anzitutto le eccezioni preliminari. Quanto alla condizione di procedibilità, l’orientamento consolidato dell’Arbitro considera il modulo di disconoscimento delle operazioni, contenente l’esposizione dei fatti e la richiesta di storno, come atto equipollente al reclamo. Quanto al dedotto frazionamento della domanda, le azioni contro il prestatore di servizi di pagamento del pagatore e quello del beneficiario si fondano su presupposti giuridici differenti: la responsabilità del primo attiene alla corretta esecuzione del servizio e alla protezione del conto del proprio cliente, quella del secondo può derivare dalla violazione di obblighi di diligenza specifici, come la verifica della corrispondenza tra IBAN e intestatario.

Nel merito, il Collegio rileva un’ambiguità nella prospettazione: il ricorso non chiarisce se la ricorrente abbia inserito autonomamente i dati del bonifico o si sia limitata ad approvare un’operazione già impostata dai truffatori. La ricorrente riferisce di aver ricevuto codici da inserire durante l’iter di blocco pagamento, senza precisare se li abbia digitati per disporre il bonifico o li abbia comunicati a terzi. Neppure può escludersi che si sia limitata ad autorizzare, tramite applicazione mobile, un’operazione predisposta da terzi mediante accesso via web.

Su questo terreno opera l’orientamento consolidato dei Collegi: quando l’operazione risulti integralmente eseguita dal pagatore, mediante inserimento della disposizione e dei relativi fattori di autenticazione, essa è autorizzata e sottratta al regime di responsabilità della PSD2. Vi rientrano anche le operazioni eseguite su indicazione del frodatore, senza consapevolezza della reale natura dispositiva.

L’intermediario ha inoltre fornito prova dell’applicazione della strong customer authentication, mediante le evidenze del processo di autenticazione e autorizzazione, da cui risulta l’utilizzo di credenziali personali e di ulteriori fattori secondo le modalità del sistema. La ricorrente non ha prodotto copia del messaggio né della telefonata ricevuta: in difetto di allegazione del messaggio civetta non è possibile ravvisare un legittimo affidamento in capo all’utente. La responsabilità dell’intermediario per l’operazione disconosciuta non è pertanto integrata e il ricorso è respinto.