Vishing e bonifico con accesso remoto home banking colpa grave rigetto ricorso (ABF Collegio di Roma n. 1646 del 23.02.2026)

Principi di diritto (Massima)
In tema di operazioni di bonifico disposte a valere su un conto corrente accessibile via home banking, l’addebito non è imputabile all’intermediario quando l’accesso fraudolento al servizio sia stato reso possibile dalla condotta del cliente, indotto mediante vishing a seguire le istruzioni di soggetti ignoti e a consentire il controllo remoto del proprio dispositivo. Il d.lgs. n. 11/2010, nel disciplinare i servizi di pagamento, esclude la responsabilità del prestatore quando l’operazione sia stata autorizzata dal cliente, anche se questi sia stato vittima di un raggiro. La mancata adozione delle cautele minime nella custodia delle credenziali integra colpa grave dell’utente e giustifica il rigetto della domanda di rimborso. Non sussiste alcun contributo causale dell’intermediario se il pronto intervento della banca ha impedito o limitato l’accredito delle somme al beneficiario.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario convenuto, riceveva sul proprio telefono un SMS apparentemente proveniente da un istituto terzo, recante l’avviso di un addebito di euro 990,00 e l’invito a contattare un’utenza per il disconoscimento. Contattato il numero indicato, la cliente veniva rassicurata sull’esistenza di operazioni fraudolente in corso e successivamente richiamata da un sedicente maresciallo dei carabinieri, che le imponeva di recarsi in agenzia, senza parlare con alcuno, per disporre un bonifico di euro 49.522,00 a favore di un IBAN “ponte” e “mettere in sicurezza” l’importo.

La ricorrente disponeva così, presso lo sportello, un bonifico urgente a favore dell’IBAN indicato; successivamente, per inviare la contabile in formato pdf, consentiva l’accesso alla propria home banking mediante un link malevolo, che permetteva ai truffatori di acquisire il controllo remoto del computer e di disporre un secondo bonifico instantaneo di euro 14.900,00. Il primo bonifico veniva stornato dalla banca resistente e integralmente restituito; il secondo veniva accreditato al beneficiario e solo parzialmente bloccato dall’istituto destinatario. La cliente chiedeva pertanto il rimborso integrale del secondo bonifico, invocando la responsabilità contrattuale della banca per inadempimento degli obblighi di sicurezza e diligenza professionale.

La motivazione del Collegio

Il Collegio esamina preliminarmente l’eccezione di inammissibilità sollevata dalla resistente per il “probabile” sequestro dei fondi ad opera dell’autorità giudiziaria. L’eccezione non è accolta: il sequestro è prospettato in via meramente ipotetica, non risulta in atti alcun provvedimento e il mero blocco dei fondi da parte della banca beneficiaria non integra la causa di improcedibilità invocata. Il richiamo è alla decisione n. 14854/2022 del Collegio di Roma.

Quanto alle domande di interessi legali, spese e risarcimento del danno da ritardo, formulate per la prima volta in sede di repliche, il Collegio le dichiara inammissibili. Le repliche sono ammesse solo se volte a ribadire e puntualizzare le posizioni già espresse, senza introdurre domande nuove rispetto al reclamo e al ricorso: diversamente il contraddittorio con l’altra parte risulterebbe precluso. I precedenti citati sono le decisioni n. 488/2018 del Collegio di Roma e n. 13733/2018 del Collegio di Milano.

Nel merito, il Collegio ricostruisce la vicenda e qualifica il raggiro come phishing telefonico, o vishing. L’SMS di partenza proveniva da un numero privato non riconducibile alla banca, riportava solo nel corpo del messaggio la denominazione di un intermediario terzo, non era inserito in una catena di messaggi genuini e presentava errori grammaticali e sintattici. Tali anomalie avrebbero dovuto indurre la cliente a non seguire le indicazioni degli interlocutori.

Il Collegio ritiene pertanto configurabile un contegno gravemente colposo della ricorrente nella protezione delle credenziali, richiamando la decisione n. 6036/2022 del Collegio di Roma. La circostanza che la cliente abbia concesso il controllo remoto della propria home banking, consentendo al truffatore di disporre il bonifico, esclude che l’intrusione derivi da un insufficiente grado di protezione informatica del servizio: l’utilizzo abusivo delle credenziali è ascrivibile a colpa grave dell’utente, secondo la decisione n. 11696/2022 del Collegio di Roma.

Il Collegio esclude infine qualsiasi contributo causale dell’intermediario alla frode. Il tempestivo intervento della resistente ha impedito l’accredito delle somme al beneficiario, integralmente per il bonifico urgente e in misura pressoché totale per quello istantaneo. Il ricorso è pertanto respinto.