Vishing caller id spoofing: colpa grave dell’utente che autorizza il pagamento (ABF Collegio di Bologna n. 923 del 03.02.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non ricade nel regime di speciale protezione previsto dall’art. 10, comma 1, D.lgs. 11/2010, anche se il consenso è viziato dagli artifizi di un truffatore. Resta comunque possibile valutare la responsabilità dell’intermediario secondo le norme di diritto comune. Nella frode di social hacking realizzata con vishing caller id spoofing la colpa grave dell’utente, di regola esclusa per l’insidiosità della tecnica, va ravvisata quando il ricorrente segua pedissequamente le istruzioni telefoniche del truffatore e i messaggi ricevuti presentino evidenti errori grammaticali e sintattici. È parimenti colpa grave non accorgersi che l’utenza chiamante è quella dedicata unicamente al blocco della carta, dalla quale è possibile solo ricevere telefonate e non effettuarle.

Il Fatto

La ricorrente, titolare di un conto corrente, chiede all’Arbitro il rimborso di Euro 950,00, importo di un’operazione di pagamento eseguita online il 20.03.2025. Espone di essere stata contattata da un sedicente operatore dell’intermediario, il quale, dopo averle segnalato presunte operazioni sospette, la induceva ad autorizzare alcune transazioni allo scopo di annullarle. Riceveva contestualmente un messaggio apparentemente proveniente dalla banca che confermava l’identità dell’interlocutore. Dopo otto transazioni le veniva sottratta la somma contestata, attraverso una carta virtuale creata su indicazione del malfattore.

La ricorrente denunciava la frode il giorno successivo e proponeva reclamo, riscontrato negativamente. L’intermediario chiede il rigetto del ricorso: l’operazione sarebbe stata autorizzata mediante autenticazione forte del cliente (SCA), con notifica push e riconoscimento biometrico, e la condotta della cliente sarebbe gravemente negligente.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo, individuando nel d.lgs. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della PSD 2, la disciplina applicabile. La questione centrale è se l’operazione possa dirsi autorizzata: la ricorrente stessa, nel ricorso e nella denuncia, ammette di avere seguito le istruzioni del sedicente operatore e di avere eseguito il pagamento, credendo di bloccare transazioni sospette.

Su questo punto il Collegio richiama l’orientamento consolidato dei Collegi ABF, secondo cui l’operazione eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, è autorizzata e sottratta al regime di responsabilità del d.lgs. n. 11/2010, anche quando il consenso sia viziato da raggiri. Viene citata, tra le altre, la decisione del Collegio di Bologna n. 2290/2023. Non trova quindi applicazione la speciale protezione dell’art. 10, comma 1.

Ciò non esaurisce l’esame: il Collegio valuta l’eventuale responsabilità dell’intermediario secondo le norme di diritto comune. La frode viene qualificata come social hacking con tecnica di vishing caller id spoofing, originata da una chiamata proveniente da un’utenza riferibile all’intermediario.

Il Collegio riconosce che, in linea generale, l’insidiosità di tale tecnica esclude la colpa grave dell’utente. Nel caso concreto, tuttavia, ravvisa la colpa grave per due ragioni: la ricorrente ha seguito incautamente e pedissequamente le istruzioni impartite per telefono; i messaggi ricevuti presentavano evidenti e numerosi errori grammaticali e sintattici, tali da renderli inattendibili, e la mancata attenzione alla forma ha cooperato alla consumazione della truffa. A ciò si aggiunge che l’utenza chiamante era, come risulta dallo stralcio del sito ufficiale versato in atti, il numero dedicato unicamente al blocco della carta, dal quale si possono solo ricevere telefonate e non effettuarle.

Nessuna responsabilità è invece ravvisabile in capo all’intermediario: l’operazione non integra alcun parametro dell’art. 8 D.M. 112/2007 in materia di rischio di frode e la banca ha inviato una notifica alert dell’operazione contestata. Il ricorso è pertanto non accolto.