Truffa telefonica con social hacking (ABF Collegio di Milano n. 254 del 14.01.2026)

Principi di diritto (Massima)
Nelle controversie su operazioni di pagamento disconosciute per truffa telefonica, l’avvenuta autenticazione mediante possesso del device e inerenza biometrica non vale, da sola, a qualificare l’operazione come autorizzata dal cliente. Il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non esclude l’applicazione della disciplina sulle operazioni non autorizzate. L’intermediario è tenuto all’obbligo di protezione del cliente e risponde quando non rileva gli indici di anomalia previsti dal D.M. 112/2007, tra cui tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo esercente. La colpa grave del cliente va valutata caso per caso, anche in rapporto alla possibile qualificazione della frode come ID caller spoofing.

Il Fatto

Il ricorrente riferisce di aver ricevuto, il 12.04.2025, una chiamata da un sedicente operatore della propria banca, il quale, conoscendo i suoi dati personali, il numero della carta e il codice CVV, lo informava di presunte transazioni anomale e lo induceva a compiere ulteriori operazioni per annullarle. Venivano così effettuati addebiti per € 6.964,75 sulla carta di debito. Il cliente presentava denuncia il 14.04.2025, disconosceva le operazioni e proponeva reclamo, riscontrato negativamente il 28.05.2025.

L’intermediario eccepiva l’irricevibilità del ricorso e, nel merito, sosteneva che le sei operazioni erano state autenticate tramite APP di home banking installata sul device del cliente con fattore biometrico, con invio di sei SMS Alert, e invocava la colpa grave del ricorrente per aver eseguito le istruzioni di un truffatore sconosciuto. In via subordinata chiedeva la ripartizione del danno con applicazione della franchigia di legge.

La motivazione del Collegio

Il Collegio esamina sei operazioni, per complessivi € 6.964,75, poste in essere il 12.04.2025, sotto la disciplina del D.lgs. n. 11/2010 come modificato dal D.lgs. n. 218/17 di attuazione della PSD II. Richiamando l’orientamento dei Collegi ABF, ribadisce che un concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo autorizzata la transazione.

Sul piano probatorio, i log informatici prodotti dall’intermediario confermano che le operazioni sono state autenticate tramite il device con deviceID in uso al cliente, sul quale è installata la APP di home banking (possesso), unitamente al fattore biometrico (inerenza). Il Collegio non si ferma però a questa constatazione: passa a valutare la condotta delle parti ai fini della colpa.

Il ricorrente, nella denuncia, ha dichiarato di aver ricevuto sei notifiche che il sedicente operatore gli chiedeva di autorizzare per poi disconoscerle verbalmente in chiamata, registrata secondo il suo racconto; nel ricorso ha affermato di essere stato indotto a compiere ulteriori operazioni per annullare quelle sospette. A fronte di tali dichiarazioni, il cliente non produce alcuna evidenza sulle chiamate ricevute. Non è quindi possibile stabilire se le chiamate fossero riconducibili alla banca del cliente, non convenuta nel procedimento, né se la fattispecie integri un ID caller spoofing, con conseguente attenuazione del giudizio sulla colpa grave.

Il Collegio applica allora gli indici di anomalia/rischio frode del D.M. 112/2007, rilevando che nella specie ricorre l’ipotesi di tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo esercente (art. 8, lett. a, punto 2). Risultano infatti sei pagamenti nell’arco di pochi minuti, per il considerevole importo complessivo, cinque dei quali presso il medesimo merchant dopo il primo.

Da ciò il Collegio deduce l’inadempimento dell’intermediario all’obbligo di protezione del cliente a partire dalla quarta operazione. Il ricorso è quindi accolto parzialmente, con condanna dell’intermediario al pagamento di € 2.985,00 in favore del ricorrente, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 delle spese di procedura.