Vishing con caller ID spoofing e onere probatorio dell’autenticazione forte nel rimborso (ABF Collegio di Roma n. 1000 del 04.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento a distanza disconosciute, il prestatore di servizi di pagamento risponde della perdita quando non dimostri l’adozione di un sistema di autenticazione forte del cliente conforme all’art. 10-bis d.lgs. n. 11/2010. La mancanza, anche parziale, della prova dell’autenticazione è dirimente e costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa grave del pagatore. Qualora il concorso causale dell’utente nella fase dispositiva o autorizzativa sia solo parziale, la transazione non può dirsi per ciò solo autorizzata, con la conseguenza che il ricorso va accolto integralmente, detratto quanto già rimborsato.

Il Fatto

Il ricorrente riferisce di essere stato contattato telefonicamente da un sedicente operatore dell’intermediario, da un’utenza apparentemente riconducibile al numero della banca memorizzato sul proprio dispositivo. Il finto operatore lo informava di operazioni sospette da bloccare immediatamente e, conoscendo i suoi dati, ne otteneva i codici Token necessari all’autorizzazione. Nel giro di pochi minuti venivano disposti tre bonifici istantanei verso un rapporto acceso presso un intermediario terzo, per un importo complessivo di euro 14.800,00.

Rientrato in albergo, il ricorrente si avvedeva della truffa e allertava la banca. L’intermediario riconosceva un rimborso “conciliativo” di euro 4.933,00 e respingeva la richiesta di rimborso integrale, ravvisando una colpa grave del cliente. Il ricorrente adiva quindi l’Arbitro chiedendo la restituzione dei residui euro 9.867,00. L’intermediario non presentava controdeduzioni, limitandosi a quanto esposto nel riscontro al reclamo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile alle operazioni eseguite dopo il 14.09.2019, data di efficacia del regolamento delegato (UE) n. 2018/389 e delle norme del d.lgs. n. 11/2010 modificate dal d.lgs. n. 218/2017. La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non abbia predisposto un sistema di autenticazione forte, basato su due o più elementi indipendenti tra conoscenza, possesso e inerenza.

La questione centrale è l’individuazione dell’onere probatorio. Il Collegio richiama l’orientamento dei Collegi territoriali secondo cui il regime di responsabilità resta escluso solo quando l’operazione sia stata eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione. Diversamente, se il concorso causale dell’utente è parziale, la transazione non può intendersi autorizzata per ciò solo.

Nel caso di specie il Collegio ravvisa proprio questa seconda ipotesi: il ricorrente ammette di aver generato i codici Token su richiesta del frodatore, ma non di aver fornito gli altri dati per accedere all’app. L’intermediario, non costituitosi, non ha prodotto alcun elemento idoneo a dimostrare l’avvenuta autenticazione, la registrazione e la contabilizzazione delle operazioni, essendosi limitato nel riscontro al reclamo a un generico riferimento al sistema mobile Token.

Il Collegio ribadisce che la mancanza anche parziale della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa ascrivibili al cliente, rappresentando un prius logico rispetto alla prova della colpa grave. Su queste basi il ricorso è accolto e l’intermediario è condannato al rimborso di euro 9.867,00, oltre al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.