Vishing e bonifico istantaneo esclusa responsabilità PSP per colpa grave cliente (ABF Collegio di Bologna n. 4636 del 22.05.2026)

Principi di diritto (Massima)
Il bonifico istantaneo disposto per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, costituisce operazione autorizzata ai sensi dell’art. 5 del D.lgs. n. 11/2010 e non ricade nel regime di responsabilità del PSP previsto per le operazioni non autorizzate dagli artt. 11 e 12 del medesimo decreto. Non è pertanto configurabile una responsabilità oggettiva dell’intermediario, restando possibile una responsabilità concorrente qualora emerga in concreto un apporto causale del PSP alla frode. La colpa grave del cliente, pur disciplinata dall’art. 12, comma 3, del D.lgs. n. 11/2010 con riferimento alle operazioni non autorizzate, costituisce parametro utile anche sul piano della responsabilità contrattuale di diritto comune: essa ricorre quando la condotta è talmente incauta da non poter essere fronteggiata in anticipo dal prestatore di servizi di pagamento.

Il Fatto

La ricorrente riferisce di aver ricevuto una telefonata da un numero corrispondente a quello della banca resistente. Un sedicente operatore, con il pretesto di non sentire bene, la richiamava su whatsapp da un numero di telefonia mobile che diceva appartenere all’intermediario. Le prospettava bonifici in uscita non autorizzati da bloccare e, con tale pretesto, la induceva a eseguire un bonifico istantaneo “inverso” di € 1.370,00 in favore di un IBAN indicato dal truffatore.

Contattato il numero verde, la ricorrente apprendeva di essere stata vittima di una frode. Poche ore dopo veniva ricontattata dal falso operatore che, riacquisita la sua fiducia, la induceva a eseguire un secondo bonifico istantaneo “inverso” dello stesso importo. L’intermediario eccepiva che le operazioni erano state eseguite personalmente dalla cliente tramite device certificato e autorizzate con SCA, che i bonifici istantanei non erano revocabili e che il recall aveva avuto esito negativo, invocando la colpa grave della correntista. Il ricorso non è stato accolto.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. Dalla documentazione emerge che i bonifici sono stati eseguiti dalla ricorrente, sia pure sulla base di una volontà viziata dai raggiri del truffatore. Secondo l’orientamento consolidato dei Collegi ABF, quando l’operazione è posta in essere per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa è autorizzata ex art. 5 del D.lgs. n. 11/2010 e non è soggetta al regime di responsabilità della PSD2 per le operazioni non autorizzate.

Esclusa la responsabilità oggettiva, resta verificabile una responsabilità concorrente del PSP su base civilistica, ove emerga un apporto causale dell’intermediario. Il Collegio rileva che la frode è stata avviata con una telefonata proveniente da un numero effettivamente riferibile alla banca, circostanza che configura un’ipotesi di vishing con caller ID spoofing, fattispecie più insidiosa del vishing tradizionale perché il messaggio proviene da un contatto apparentemente verificato. Tuttavia, valorizzando la seconda telefonata — durata oltre due ore e all’esito della quale è stata eseguita la prima operazione — la truffa viene inquadrata nello schema del vishing classico, essendo stata eseguita su whatsapp tramite un numero di telefonia mobile non riferibile all’intermediario.

Il Collegio sottolinea la condotta della ricorrente: ha seguito pedissequamente le richieste del truffatore nonostante l’anomalia delle circostanze, ha contattato il numero verde apprendendo la frode e, ciononostante, dopo diverse ore ha dato nuovamente credito al sedicente operatore, sulla base della motivazione palesemente illogica secondo cui un truffatore non l’avrebbe richiamata. Una volta acquisita la consapevolezza della truffa, la cliente avrebbe dovuto astenersi da ulteriori operazioni e procedere alla modifica delle credenziali e al blocco degli strumenti di pagamento, come previsto dagli obblighi di cui all’art. 7 del D.lgs. n. 11/2010.

Il Collegio considera inoltre che l’intermediario ha documentato l’invio di alert dopo ciascuna operazione, senza contestazione della ricorrente sulla mancata ricezione: misure idonee a consentire al cliente di rilevare tempestivamente operazioni anomale. La condotta della ricorrente integra pertanto colpa grave, negligenza inescusabile che esula dall’area del rischio professionale dell’intermediario, escludendosi anche un concorso di colpa del PSP, che ha inviato gli alert e tentato senza esito il recall dei bonifici contestati. Il ricorso è quindi respinto.