Truffa telefonica con carte virtuali: operazioni autorizzate e colpa grave del cliente (ABF Collegio di Roma n. 1159 del 10.02.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite dal cliente con l’inserimento delle disposizioni e di tutti i fattori di autenticazione sono autorizzate e restano fuori dalla speciale disciplina di protezione del d.lgs. n. 11 del 2010. In questa categoria rientrano anche le operazioni c.d. sotto dettatura, compiute su indicazione di un sedicente operatore che ha indotto il cliente a creare carte virtuali sui propri strumenti di pagamento. Il carattere anomalo delle richieste, provenienti da un numero non riconducibile all’intermediario, rende il contegno del cliente gravemente colposo nella custodia delle credenziali. In assenza di un contributo causale dell’intermediario alla frode, il ricorso è respinto.

Il Fatto

La ricorrente, titolare di un conto corrente e di una carta di debito e di una prepagata abilitate al servizio di home banking, riceveva sul proprio cellulare un SMS con il quale un mittente non riconducibile alla banca la avvisava dell’esecuzione di un prelievo di euro 3.000,00, invitandola a contattare un’utenza telefonica in caso di disconoscimento. Solo il giorno successivo la cliente richiamava il numero indicato. Un sedicente operatore dell’istituto, dopo averla ricontattata da un’altra utenza, le riferiva che il conto era stato “letteralmente prosciugato” e la guidava nella creazione di due carte virtuali associate alla carta di debito e alla prepagata, indicandole gli importi da trasferire. Le assicurava il reintegro nel giro di 48 ore.

Insospettita, la ricorrente contattava il servizio clienti e apprendeva di essere vittima di una truffa. L’intermediario bloccava le carte, ma le operazioni proseguivano. Veniva inoltre attivata un’ulteriore carta, recapitata fisicamente all’indirizzo della cliente e da questa riconsegnata in filiale, ma materialmente attivata prima della consegna, con un ulteriore ammanco di euro 118,31. La ricorrente chiedeva la restituzione di euro 14.625,37. La banca eccepiva che le operazioni disconosciute in sede prodromica ammontavano a euro 10.235,11 e che esse erano state disposte dalla stessa cliente con il device usualmente utilizzato, previa creazione delle carte virtuali.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di parziale inammissibilità del petitum. La banca sosteneva che la domanda dovesse essere limitata a euro 10.235,11, importo disconosciuto con il modulo del 19 dicembre 2024. L’eccezione non è accolta: risulta in atti una seconda denuncia del 25 maggio 2025, con la quale la cliente, all’esito di ulteriori conteggi, ha quantificato la somma sottratta in misura maggiore, riferendola al disconoscimento di 17 operazioni. L’intermediario ha riscontrato quella comunicazione il 29 luglio 2025, sicché la contestazione non è tardiva né nuova.

Nel merito, il Collegio richiama l’orientamento consolidato dei Collegi territoriali: quando le operazioni contestate sono interamente eseguite dal pagatore con l’inserimento delle disposizioni di pagamento e di tutti i fattori di autenticazione, esse devono considerarsi autorizzate e non sono soggette alla speciale disciplina del d.lgs. n. 11 del 2010. In questa fattispecie rientrano anche le operazioni c.d. sotto dettatura, come quella in esame.

Il Collegio ricostruisce quindi la genesi della frode. L’SMS ricevuto il 15 dicembre 2024 proveniva da un numero privato, non riconducibile alla banca, che recava la denominazione della convenuta solo nel corpo del messaggio. Il testo non era inserito in coda a precedenti messaggi genuini ed era carente nella punteggiatura. Da tali elementi il Collegio desume che la ricorrente è verosimilmente rimasta vittima di phishing telefonico (o vishing).

Il carattere anomalo delle richieste avrebbe però dovuto indurre la cliente a non seguire le indicazioni del falso operatore e a non rivelare a terzi ignoti i propri codici dispositivi. Il Collegio qualifica pertanto il contegno della ricorrente come gravemente colposo nella protezione delle credenziali di sicurezza personalizzate, richiamando sul punto la propria precedente decisione n. 6036/2022. Nella fattispecie non emerge alcun contributo causale dell’intermediario alla frode. Il ricorso è consequently respinto.