Vishing caller ID e concorso colposo dell’intermediario nella frode al correntista (ABF Collegio di Roma n. 1711 del 25.02.2026)

Principi di diritto (Massima)
L’esecuzione materiale dell’operazione di pagamento da parte del cliente esclude l’applicazione del regime di responsabilità oggettiva del prestatore di servizi di pagamento previsto dalla disciplina della PSD2, così come recepita dal d.lgs. 11/2010. Resta tuttavia esperibile l’accertamento di una responsabilità dell’intermediario a titolo di concorso causale, secondo le norme di diritto comune. Quando la frode si realizza mediante vishing caller ID, cioè con una chiamata proveniente da un recapito apparentemente riferibile alla banca, il Collegio ravvisa un concorso colposo delle parti, imputando all’intermediario di non avere adottato tutti i presidi necessari a impedire che il proprio numero fosse impiegato per fini fraudolenti. La quota risarcitoria è liquidata in via equitativa ai sensi dell’art. 1226 c.c., in misura pari alla metà del pregiudizio patito.

Il Fatto

La ricorrente, società, ha chiesto la restituzione di Euro 14.000,00 corrispondenti a un bonifico eseguito il 3 aprile 2025 e mai autorizzato. Secondo la ricostruzione, il legale rappresentante ha ricevuto un SMS che segnalava un accesso da un nuovo apparecchio, con invito a selezionare un collegamento ipertestuale. Dopo il clic e l’inserimento dei dati, è giunta una chiamata da un numero apparentemente riferibile alla banca: un sedicente impiegato ha chiesto di accedere all’applicazione mediante le credenziali e, durante la conversazione protrattasi circa cinquanta minuti, ha rassicurato sulla possibilità di bloccare il pagamento con un’operazione “inversa”.

La banca ha eccepito che la clientela aveva gli strumenti per avvedersi della frode, che l’operazione è stata eseguita tramite un PC usato in modo univoco dal settembre 2024, con codice di adesione, PIN, token fisico, OTP e Captcha, e che la filiale ha attivato una richiesta di recall con esito negativo. La ricorrente ha replicato richiamando la figura dell’id caller spoofing e contestando la chiarezza dei log.

La motivazione del Collegio

Il Collegio ha anzitutto verificato che l’operazione è stata compiuta sotto la vigenza del d.lgs. 11/2010. Dalla documentazione è emerso che è stata la stessa ricorrente a eseguire il bonifico: circostanza che, per l’orientamento unanime dei Collegi, esclude l’applicabilità della disciplina della PSD2. Il perfezionamento dell’operazione mediante una complessa sequenza di password e codici dimostra inoltre la compliance alle modalità autorizzative impiegate dall’intermediario, come già rilevato in Collegio di Roma, decisione n. 1854/2025.

È stato accertato che il rappresentante della ricorrente ha cliccato i link e inserito i dati agevolando la frode, sotto le direttive telefoniche del sedicente addetto. Il numero dal quale proveniva l’SMS non appare associabile alla banca, mentre il numero con cui è stata effettuata la chiamata è effettivamente associato alla resistente. Da qui la qualificazione della frode come vishing caller ID.

Messo a sistema tutto ciò, il Collegio ha escluso il regime di responsabilità oggettiva del prestatore, trattandosi di operazione compiuta integralmente dal danneggiato. Non ha però escluso l’accertamento di profili di responsabilità a titolo di concorso causale. Tra gli indici tradizionalmente valorizzati figurano la mancata disponibilità del numero verde, la mancata identificazione del tentativo di frode da parte del dipendente e il mancato rilievo di indicatori di anomalia. Il Collegio ha poi ricordato che gli indici del D.M. 112/2007 non costituiscono elenco tassativo, ma esprimono un generale dovere di diligenza e monitoraggio.

Su questa base, la prova di una chiamata da recapito apparentemente riconducibile all’intermediario è stata equiparata all’SMS spoofing, con conseguente concorso colposo delle parti: all’intermediario è imputata la responsabilità di non avere adottato tutti i presidi necessari a impedire che il truffatore chiamasse la cliente con un numero riferibile alla banca (così Collegio di Roma, decisione n. 8749/2024, che richiama Collegio di Milano, decisione n. 17467/2021). Irrilevante è risultato il diligente espletamento del recall; anodina la mancata emissione di un SMS alert per singole operazioni di pagamento.

Quanto alla quantificazione, il Collegio ha richiamato gli artt. 2043, 2056, 1223, 1226 e 1227 c.c. e il principio secondo cui il danno risarcibile si identifica con le conseguenze della lesione, da allegare e provare anche per presunzioni (Cass. n. 18935/2025). Accertato il concorso causale della resistente e ritenutane pari rilevanza rispetto al comportamento della ricorrente, il ricorso è stato accolto in parte, con liquidazione equitativa di Euro 7.000,00, metà del valore del bonifico.