Vishing con app malevola e colpa grave dell’utente nel bonifico non autorizzato (ABF Collegio di Roma n. 3281 del 14.04.2026)

Principi di diritto (Massima)
Nelle frodi da vishing con caller ID spoofing, il prestatore di servizi di pagamento è esente da responsabilità ove provi l’adozione di un sistema di Strong Customer Authentication conforme e non emerga un suo apporto causale alla truffa. Tale apporto può consistere nell’indisponibilità del numero verde, nella mancata identificazione del tentativo di frode da parte del dipendente o nel mancato rilievo di indici di frode. Integra colpa grave dell’utilizzatore l’aver installato, su indicazione del frodatore, un’applicazione ignota che consente l’accesso e il controllo da remoto del dispositivo, permettendo l’esecuzione di pagamenti non autorizzati.

Il Fatto

Il ricorrente riferisce di aver ricevuto una chiamata apparentemente proveniente dal servizio clienti della banca. Il sedicente operatore lo avvertiva della presenza di malware sul cellulare e lo induceva a scaricare un’app per rimuoverli, preannunciando un successivo contatto. Non ricevuta la telefonata, il ricorrente si rivolgeva al servizio clienti e apprendeva dell’esecuzione di un bonifico di euro 6.300,00 da lui non autorizzato.

Chiedeva quindi all’Arbitro il rimborso della somma. L’intermediario si costituiva sostenendo che l’operazione era stata correttamente autenticata con doppio fattore (PIN e OTP) e che la truffa era imputabile alla condotta ingenua del ricorrente, che aveva condiviso le credenziali scaricando un’applicazione esterna.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando la direttiva 2015/2366/UE (PSD 2), recepita con il d.lgs. n. 218/2017, che modifica il d.lgs. n. 11/2010. Ai fini della verifica della SCA, l’intermediario deve provare non solo l’assenza di malfunzionamenti e la corretta registrazione e contabilizzazione dell’operazione, ma anche gli elementi di fatto dalle quali desumere la frode, il dolo o la colpa grave dell’utente.

Sul punto il Collegio richiama la decisione del Collegio di Coordinamento n. 22745/19, secondo cui la produzione documentale attestante l’autenticazione e la formale regolarità dell’operazione non soddisfa di per sé l’onere probatorio, occorrendo l’indicazione specifica delle modalità esecutive da cui trarre in via presuntiva la colpa grave. Nel caso concreto l’operazione risultava autenticata mediante login con nome utente e PIN e firma con PIN e OTP generato da Mobile Token, con notifica push: modalità ritenuta conforme alla SCA secondo il condiviso orientamento del Collegio (decisione n. 19821/2021).

Il Collegio osserva poi che il ricorrente non ha fornito alcuna evidenza del registro delle chiamate relativo al giorno della truffa. La richiesta di integrazione deliberata il 04/12/2025 è rimasta insoddisfatta: le schermate prodotte sono prive di data o riportano date diverse. Manca altresì il messaggio esca. Secondo l’orientamento richiamato (decisione n. 4317/2024), la prova del vishing da spoofing richiede l’allegazione della lista delle chiamate ricevute, onde verificarne l’insidiosità rispetto al vishing classico.

Il Collegio esclude che ricorra alcuna delle ipotesi di responsabilità dell’intermediario: non la mancata disponibilità del numero verde, non la mancata identificazione del tentativo di frode da parte del dipendente, non il mancato rilievo di indici di frode. Rileva invece che il ricorrente ha dichiarato di aver scaricato un’applicazione non riconducibile all’intermediario, dalla quale è presumibilmente derivato il controllo del device e dell’app bancaria da parte dei truffatori. Richiamando la decisione n. 7806/2023, il Collegio riconosce in simile condotta la colpa grave dell’utente e respinge il ricorso.