Vishing caller ID e bonifici istantanei concorso di colpa e rimborso equitativo (ABF Collegio di Roma n. 4666 del 25.05.2026)

Principi di diritto (Massima)
Nelle frodi riconducibili al vishing caller ID, in cui il frodatore contatta il cliente da un numero apparentemente riferibile all’intermediario, le operazioni di pagamento disposte personalmente dal pagatore con tutti i fattori di autenticazione devono considerarsi autorizzate e non soggette al regime di responsabilità della PSD2. Non è pertanto configurabile una responsabilità oggettiva del prestatore di servizi di pagamento. È tuttavia ravvisabile un concorso di colpa tra le parti, imputabile all’intermediario per non avere adottato i presidi necessari a impedire che il truffatore chiamasse il cliente con un numero riferibile all’istituto, e all’utente per la negligenza grave che agevola la truffa. Il rimborso è determinato in via equitativa.

Il Fatto

Il ricorrente, correntista di un intermediario, riferisce di essere stato contattato l’9 gennaio 2025 da un sedicente consulente della banca, che lo metteva in allarme per operazioni sospette sul conto. Il contatto risultava credibile anche per l’invio di due SMS apparentemente provenienti dalla banca e per una successiva telefonata in apparenza della Polizia postale.

Indotto in errore, il cliente disponeva tre bonifici istantanei, rispettivamente di euro 12.450,00, 11.490,00 e 13.890,00, per complessivi euro 37.830,00, nella convinzione di mettere al riparo i propri risparmi. Solo dopo si avvedeva della frode. Chiedeva quindi il rimborso dell’intera somma. L’intermediario resisteva, eccependo la colpevole collaborazione del cliente, la regolarità del sistema di autenticazione forte e l’impossibilità di annullare bonifici istantanei, nonostante la richiesta di recall avanzata e rimasta senza esito.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile. Le operazioni, eseguite dopo il 14.09.2019, ricadono nel perimetro della PSD2 e del regolamento delegato (UE) n. 2018/389. Richiama l’art. 10-bis d.lgs. n. 11/2010, che impone ai prestatori di servizi di pagamento il sistema di autenticazione forte, e l’art. 12, comma 2-bis, d.lgs. n. 11/2010, secondo cui il pagatore non sopporta perdite se il prestatore non esige la strong customer authentication. La definizione di autenticazione forte è tratta dall’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010, con i tre elementi della conoscenza, del possesso e dell’inerenza.

Sul piano concreto, i log prodotti dall’intermediario dimostrano che i tre bonifici sono stati disposti con il dispositivo registrato del ricorrente, mediante codice utente, data di nascita e PIN quali credenziali statiche, push autorizzativa e validazione con codice OTP. Il Collegio ritiene pertanto che le operazioni siano state autorizzate, perché eseguite per intero dal pagatore, ancorché sotto l’inganno del frodatore.

Il passaggio decisivo riguarda la qualificazione della frode. Il ricorrente ha prodotto, su invito istruttorio, il registro delle chiamate da cui emerge un numero riferibile al servizio clienti dell’intermediario. La vicenda è quindi ricondotta al vishing caller ID, ipotesi equiparabile allo sms spoofing. In questi casi l’orientamento prevalente dei Collegi territoriali ravvisa un concorso colposo delle parti: all’intermediario si imputa di non avere adottato i presidi necessari a impedire che il truffatore chiamasse il cliente con un numero riferibile all’istituto; al cliente la negligenza grave che agevola la truffa.

Il Collegio valorizza anche la sequenza ravvicinata dei tre bonifici istantanei, tutti concentrati nella stessa mattinata, quale indice di anomalia. Non emergono invece elementi per ritenere che gli SMS si inserissero in una conversazione genuina con la banca. All’esito, il ricorso è accolto in parte: l’intermediario è condannato a corrispondere al ricorrente la somma di euro 20.000,00, determinata equitativamente, oltre al contributo alle spese della procedura e al rimborso versato per la presentazione del ricorso.