Nessuna responsabilità del PSP per vishing e colpa grave del correntista (ABF Collegio di Roma n. 388 del 19.01.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con inserimento della disposizione e dei fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Rientrano in questa fattispecie le operazioni disposte dal cliente seguendo le indicazioni del frodatore, senza la consapevolezza di compiere una transazione, come le operazioni c.d. “sotto dettatura”. In tali casi non è configurabile una responsabilità oggettiva del PSP, salvo che emerga dalla documentazione un apporto causale dell’intermediario, valutabile secondo le norme di diritto comune. Il cliente che, vittima di vishing, collabori attivamente e inconsapevolmente alle operazioni fraudolente tiene un contegno gravemente colposo nella protezione delle credenziali di sicurezza personalizzate.

Il Fatto

Il ricorrente riceve al mattino un SMS apparentemente proveniente dalla propria banca, che lo avvisa dell’esecuzione di un bonifico. Dopo un tentativo fallito di contattare il numero indicato, viene richiamato da un sedicente operatore che gli conferma l’operazione sospetta e gli chiede di trasferire € 45.000,00 su un conto “sicuro” intestato a una dirigente del servizio antifrode della Polizia di Stato. Poco dopo riceve una chiamata da un numero corrispondente a quello reale della Questura di Roma, in cui un sedicente ispettore conferma la truffa in corso e gli impone il segreto investigativo.

Confuso e agitato, il ricorrente si reca in una filiale e dispone un bonifico urgente di € 45.000,00, importo prossimo al saldo disponibile di € 49.592,00. Solo nel pomeriggio, contattata direttamente la Questura, scopre la truffa. L’intermediario resiste: l’operazione è stata eseguita a sportello, previa interlocuzione del gestore, con sottoscrizione della distinta; il richiamo del bonifico non ha avuto esito positivo. Il ricorrente chiede il disconoscimento dell’operazione.

La motivazione del Collegio

Il Collegio inquadra la controversia nel d.lgs. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della Direttiva 2015/2366/UE (c.d. PSD2). Il thema decidendum riguarda il disconoscimento di un bonifico urgente disposto a sportello il 17.3.2025, operazione che l’intermediario documenta con il modulo compilato e sottoscritto dal cliente.

Il Collegio richiama l’orientamento condiviso tra i Collegi secondo cui, quando l’operazione è eseguita per intero dal pagatore con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e sottratta al regime di responsabilità della PSD2. Vi rientrano le operazioni eseguite seguendo le indicazioni del frodatore, come quelle “sotto dettatura”. Non è quindi configurabile una responsabilità oggettiva del PSP, ferma restando la possibilità di ravvisare una responsabilità concorrente dell’intermediario, secondo il diritto comune, in presenza di un apporto causale concretamente documentato: la mancata disponibilità del numero verde, la mancata identificazione del tentativo di frode da parte del dipendente cui il pagatore si sia rivolto, il mancato rilievo di indici di frode.

Nel caso di specie il Collegio ritiene che tali elementi non ricorrano. Il direttore della filiale ha contattato il gestore di riferimento chiedendo autorizzazione a disporre il bonifico, e il ricorrente ha interloquito con il proprio gestore, al quale ha riferito una causale (il sostegno alla nipote per un rogito) diversa dalla reale destinazione. Non emerge quindi alcun apporto causale dell’intermediario riconducibile alle fattispecie sopra elencate.

Il Collegio riconosce che il ricorrente è verosimilmente rimasto vittima di phishing telefonico (o vishing): il mittente dell’SMS non è un numero riconducibile alla banca, il cui riferimento appare solo nel testo del messaggio, e il messaggio non risulta inserito nella chat ufficiale. Tuttavia, il carattere anomalo delle richieste avrebbe dovuto indurre il ricorrente a non seguire le indicazioni del falso operatore. La sua collaborazione, seppure inconsapevole quanto ai fini, integra un contegno gravemente colposo nella protezione delle credenziali di sicurezza personalizzate, come già affermato dal Collegio di Roma (decisione n. 12091/2021; decisione n. 7335/2025).

Alla luce di quanto esposto, il Collegio ritiene che la domanda non possa trovare accoglimento e respinge il ricorso.