Vishing con caller ID spoofing (ABF Collegio di Bologna n. 1139 del 09.02.2026)

Principi di diritto (Massima)
In tema di vishing con caller ID spoofing, la banca che non adotti presidi organizzativi adeguati a contrastare le frodi telefoniche risponde del danno subito dall’utilizzatore dello strumento di pagamento. Tuttavia, qualora il cliente abbia comunicato i dati della carta e autorizzato la transazione sulla base delle istruzioni dell’interlocutore fraudolento, la sua condotta integra colpa grave ai sensi dell’art. 7 d.lgs. n. 11/2010. La prova della colpa grave può essere data anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ex art. 2729 c.c.. Accertato il concorso di responsabilità, il danno va ripartito tra le parti secondo l’art. 1227 c.c.

Il Fatto

La ricorrente, titolare di una carta di credito, il 4 dicembre 2024 riceveva una telefonata apparentemente proveniente dal servizio clienti dell’intermediario. L’interlocutore la informava di un tentativo di utilizzo illecito della carta e le chiedeva alcune cifre dello strumento di pagamento. Durante la chiamata la ricorrente contattava il proprio consulente, che le consigliava di interrompere la conversazione e di chiamare direttamente la banca, ma nel frattempo una transazione online di € 1.190,00 era già andata a buon fine. Un secondo tentativo di € 3.202,05 veniva invece rifiutato. La ricorrente bloccava subito la carta e sporgeva denuncia.

A fronte del disconoscimento e della richiesta di rimborso, l’intermediario rispondeva negativamente. La ricorrente proponeva quindi ricorso all’ABF chiedendo la restituzione della somma sottratta. L’intermediario eccepiva il concorso determinante della cliente nella truffa e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo del d.lgs. n. 11/2010. Ai sensi dell’art. 10, è onere dell’intermediario provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata; in mancanza, la banca sopporta integralmente le conseguenze delle operazioni disconosciute. Fornita tale prova, occorre valutare se all’utilizzatore sia imputabile una condotta connotata da dolo o colpa grave in violazione degli obblighi dell’art. 7, altrimenti il rischio resta a carico dell’intermediario ex art. 12.

Nel caso concreto l’intermediario forniva la prova dell’autenticazione: il login alle ore 16:29 mediante ID utente e PIN, e l’autorizzazione della transazione alle 16:32 con PIN e OTP generato dal Mobile Token installato sul dispositivo della ricorrente. La breve distanza temporale tra accesso e operazione induceva a ritenere che la disposizione fosse avvenuta nella medesima sessione. Il Collegio richiamava la Q&A ID 2020_5516 dell’EBA, che consente di riutilizzare il PIN nell’ambito della stessa sessione quale elemento di conoscenza indipendente dal possesso del device.

Affermata l’autenticazione, il Collegio affrontava la prova del dolo o della colpa grave, che può essere data anche attraverso presunzioni. Richiamava Cass. civ., Sez. II, n. 654 del 2010, che ammette la prova indiziaria della colpa grave, e l’art. 2729 c.c. che richiede indizi gravi, precisi e concordanti. La ricorrente aveva ammesso di aver comunicato i dati della carta e di aver autorizzato la transazione. La notifica push era “parlante” e indicava l’operazione, e risultava versato anche l’sms alert di notifica.

Il Collegio riteneva che la ricorrente fosse rimasta vittima di una truffa rientrante nello schema del Vishing Caller ID Spoofing, valorizzando le evidenze delle telefonate e la coincidenza del numero di blocco. Ciò nonostante, affermava la sua colpa grave per aver fornito i dati della carta e non essersi avveduta che dal numero di blocco non vengono effettuate chiamate ai clienti. Non escludeva però il concorso di responsabilità dell’intermediario per non aver adottato presidi organizzativi adeguati. Il Collegio ripartiva quindi la colpa ex art. 1227 c.c., riconoscendo alla ricorrente il 10% della somma sottratta, pari a € 119,00.