Vishing e bonifici disposti dal cliente: operazioni autorizzate e colpa grave (ABF Collegio di Napoli n. 4787 del 27.05.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte personalmente dall’utilizzatore, ancorché indotte da un raggiro di un terzo che si sia presentato come operatore della banca (cd. vishing), costituiscono operazioni autorizzate e non rientrano nel regime di responsabilità previsto per le operazioni non autorizzate dal D.lgs. n. 11/2010 e dalla PSD2. Il pagamento è autorizzato quando il cliente presta il consenso e completa il processo di strong customer authentication, combinando un elemento di conoscenza e un elemento di possesso. In tal caso l’intermediario va esente da responsabilità se prova la colpa grave dell’utente, desumibile dalle concrete modalità esecutive delle operazioni, e l’assenza di un proprio apporto causale alla frode.

Il Fatto

Il ricorrente, titolare di un conto corrente presso l’intermediario convenuto, aveva messo in vendita su un sito internet del mobilio di sua proprietà. Il 09/01/2025 veniva contattato da una sedicente acquirente che proponeva una modalità di pagamento anomala, mediante digitazione di codici presso un terminale ATM. L’operazione non andava a buon fine e nessun bonifico veniva ricevuto.

Poco dopo il ricorrente riceveva, tramite piattaforma di messaggistica, un messaggio di un sedicente operatore con il logo dell’intermediario, che lo avvertiva di un presunto attacco hacker e gli suggeriva di spostare la liquidità su due rapporti temporanei. Il cliente disponeva così due bonifici istantanei, per € 10.000,00 e € 4.600,00. Accortosi della truffa, chiedeva il blocco del conto e sporgeva denuncia, quindi si rivolgeva all’Arbitro per l’integrale rimborso. L’intermediario eccepiva l’autorizzazione delle operazioni mediante autenticazione forte e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio qualifica le operazioni come operazioni autorizzate. L’art. 5 del D.lgs. n. 11/2010 richiede il consenso del pagatore per la corretta esecuzione del pagamento: nel caso di specie i due bonifici sono stati eseguiti personalmente dal ricorrente, che è entrato nell’area riservata con il proprio codice personale e ha confermato le operazioni con la notifica push. Non si tratta dunque di operazioni non autorizzate, ma di pagamenti disposti sotto dettatura del frodatore, con consenso viziato ma pur sempre prestato.

Il percorso autorizzativo risulta conforme alla strong customer authentication: il titolare ha digitato il codice segreto, elemento di conoscenza, e ha confermato la push sul proprio smartphone, elemento di possesso. Il Collegio richiama l’orientamento dei Collegi territoriali secondo cui le operazioni eseguite dal cliente, anche se in forza di un consenso viziato dal raggiro, non sono soggette al regime di responsabilità della PSD2.

Esclusa la responsabilità oggettiva del prestatore di servizi di pagamento, il Collegio valuta l’eventuale responsabilità concorrente dell’intermediario, configurabile in presenza di un apporto causale alla frode: indisponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, mancato rilievo di indici di frode. Nel caso concreto nessuna di tali circostanze ricorre, né emergono gli indici previsti dall’art. 8 del D.M. n. 112/2007.

Resta da verificare la colpa grave del cliente. Richiamato il principio del Collegio di Coordinamento n. 22745/2019, secondo cui la prova dell’autenticazione non basta di per sé a soddisfare l’onere probatorio del PSP, il Collegio rileva che il ricorrente non ha prestato la dovuta attenzione: è stato contattato tramite messaggistica da un numero non ufficiale, non ha interloquito con la banca tramite i canali ordinari e non ha interrotto la conversazione. Il messaggio presentava evidenti errori grammaticali e di sintassi, i beneficiari erano soggetti terzi titolari di conti presso altre banche, e l’intermediario ha prodotto gli sms alert e le mail inviate, tentando senza esito il recall dei bonifici.

Il Collegio conclude quindi per l’assenza di un apporto causale dell’intermediario e per l’esclusiva ascrivibilità della frode al comportamento gravemente colposo del ricorrente, rigettando il ricorso.