Truffa con bonifico autorizzato dalla vittima resta fuori dalla PSD2 (ABF Collegio di Milano n. 2079 del 09.03.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta per intero dal pagatore, con inserimento dell’ordine e di tutti i fattori di autenticazione, è operazione autorizzata anche quando sia stata indotta da un raggiro di un terzo. In tale ipotesi non trova applicazione il regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/EU (PSD2) e dal D.lgs. n. 11/2010, né occorre esaminare il sistema di autenticazione forte dell’intermediario. La truffa in cui l’istituto di credito viene impersonato per indurre il cliente a eseguire personalmente i pagamenti integra la figura del c.d. social hacking, distinta dal vishing in cui è il frodatore a disporre e autenticare le operazioni.

Il Fatto

La parte ricorrente riferisce di aver ricevuto l’11.08.2025 un SMS apparentemente inviato dal proprio intermediario, che la invitava a contattare un numero telefonico per bloccare un presunto bonifico sospetto in uscita. Seguendo le indicazioni, il cliente parlava con un soggetto che, presentandosi come collaboratore della banca, lo convinceva a disporre pagamenti a favore di terzi ignoti sotto la falsa qualifica di bonifici revocatori.

Compreso l’inganno, la parte ricorrente tentava immediatamente di bloccare le operazioni, segnalava la truffa e il giorno successivo sporgeva denuncia. Chiedeva quindi la condanna dell’intermediario alla restituzione di € 2.000,00, o in subordine al ristoro del danno, invocando l’art. 1176, comma 2, c.c. e lamentando l’omessa verifica sull’identità del titolare del conto beneficiario e la mancata indicazione delle procedure antiriciclaggio. L’intermediario non si è costituito, pur avendo ricevuto il ricorso in data 17.11.2025.

La motivazione del Collegio

Il Collegio concentra l’analisi sulla qualificazione dell’operazione. Dalle risultanze della denuncia e dalla stessa prospettazione del ricorso emerge in modo pacifico che il bonifico è stato eseguito interamente e direttamente dalla parte ricorrente, la quale riconosce di averlo personalmente disposto a favore di un terzo ignoto seguendo le indicazioni dell’operatore fraudolento.

Da qui la conseguenza giuridica: l’operazione, sia pure a causa del raggiro perpetrato da un terzo, è stata autorizzata dal pagatore. Non viene quindi in rilievo il regime di responsabilità per le operazioni di pagamento non autorizzate di cui alla direttiva 2015/2366/EU e al D.lgs. n. 11/2010, con la conseguenza che il Collegio non procede all’esame del sistema di autenticazione forte adottato dall’intermediario.

La fattispecie viene ricondotta alla categoria del social hacking, che si concretizza nell’impartire telefonicamente istruzioni manipolative al titolare, lasciando che sia lo stesso titolare a disporre e autenticare i singoli pagamenti, senza che il frodatore venga mai a conoscenza dei codici di accesso. In questo la figura si distingue dal vishing, dove è il truffatore a disporre e autenticare le operazioni sulla base dei codici carpiti con l’inganno. Il Collegio richiama sul punto la propria decisione n. 432/2023 e, ex multis, la decisione del Collegio di Palermo n. 8841/2025 e la decisione del Collegio di Roma n. 8538/2021.

Esclusa l’applicabilità del regime di responsabilità dei prestatori di servizi di pagamento, il Collegio non accoglie la domanda di rimborso. Restano assorbiti i profili relativi alla diligenza professionale e agli obblighi antiriciclaggio, che il ricorrente aveva prospettato come autonoma fonte di responsabilità.