Vishing e bonifici istantanei autorizzati: colpa grave del cliente e responsabilità bancaria (ABF Collegio di Roma n. 413 del 20.01.2026)

Principi di diritto (Massima)
In materia di vishing e bonifici istantanei, l’operazione disposta dal pagatore con accesso all’app tramite dispositivo in suo possesso e autorizzazione mediante biometria è autorizzata e non ricade nel regime di responsabilità della PSD 2. L’intermediario che provi l’adozione di un sistema di strong customer authentication a due fattori, la corretta registrazione delle operazioni e l’invio degli alert è esente da responsabilità. Integra colpa grave del cliente l’aver installato, su indicazione del frodatore, un’applicazione che consente il controllo da remoto del dispositivo. Il concorso di colpa della banca si ravvisa solo quando la frode origini da sms o chiamate provenienti dai canali ufficiali dell’intermediario.

Il Fatto

Il ricorrente, titolare di un conto corrente presso la banca resistente e di un account su una piattaforma radicata presso un intermediario estero, caricava sulla piattaforma copia del permesso di soggiorno per l’aggiornamento dei documenti. Nei giorni successivi veniva contattato da un sedicente operatore della piattaforma, il quale gli comunicava l’esito negativo del caricamento e lo induceva a scaricare un’applicazione per l’aggiornamento.

All’esito di tali contatti il ricorrente si avvedeva dell’esecuzione di tre bonifici istantanei per complessivi euro 44.997,00, da lui autorizzati e trasferiti su un conto acceso fraudolentemente a suo nome presso altro intermediario. Presentava denuncia e chiedeva la restituzione dell’intera somma. L’intermediario estero, non convenuto, rimborsava il 50% della perdita; la banca eccepiva l’esecuzione personale delle operazioni con autenticazione biometrica e chiedeva, in caso di accoglimento, la riduzione della somma a euro 22.497,00.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando la direttiva 2015/2366/UE (PSD 2), recepita con il d.lgs. n. 218 del 15/12/2017, che modifica il d.lgs. n. 11 del 2010. Ai fini della verifica del rispetto della strong customer authentication, l’intermediario deve provare non solo l’assenza di malfunzionamenti, ma anche l’adozione di un sistema di sicurezza adeguato e la corretta registrazione, autenticazione e contabilizzazione delle operazioni.

Richiamando la decisione del Collegio di Coordinamento n. 22745/19, il Collegio ribadisce che la sola produzione documentale dell’autenticazione e della formale regolarità dell’operazione non soddisfa l’onere probatorio posto a carico del prestatore di servizi di pagamento: occorre indicare gli elementi di fatto che, in via presuntiva, dimostrino la colpa grave dell’utente. Quando però l’operazione è eseguita per intero dal pagatore, essa va considerata autorizzata e sottratta al regime di responsabilità della PSD 2.

Nel caso concreto il ricorrente aveva scaricato, su indicazione del frodatore, un’applicazione che verosimilmente consentiva il controllo da remoto del dispositivo. Il Collegio qualifica la condotta come colpa grave, sull’esempio dell’orientamento che assimila il vishing allo smishing pacifico (richiamate le decisioni del Collegio di Roma n. 7806/2023 e n. 4317/2024). La banca ha inoltre dimostrato che i bonifici sono stati disposti previo accesso all’app sul dispositivo del cliente e autorizzati mediante biometria e Mobile Code, con invio di e-mail e sms alert per ciascuna operazione.

Quanto al possibile concorso di colpa dell’intermediario, il Collegio esclude che la frode abbia avuto origine da sms o chiamate provenienti dai canali ufficiali della banca: il ricorrente ha riferito di essere stato contattato esclusivamente da un sedicente operatore della piattaforma. Manca dunque alcun apporto causale della resistente alla frode, con la conseguenza che la responsabilità è esclusivamente del ricorrente.

Il ricorso è pertanto respinto, restando assorbita ogni questione sulla riduzione della somma in ragione del rimborso parziale già ottenuto.