Vishing e caller ID spoofing: concorso di colpa tra banca e cliente (ABF Collegio di Roma n. 404 del 19.01.2026)

Principi di diritto (Massima)
Nelle controversie sul disconoscimento di operazioni di pagamento, il prestatore di servizi di pagamento deve provare l’autenticazione e la regolare registrazione delle operazioni e, in via presuntiva, la colpa grave dell’utente. Nelle frodi da vishing con caller ID spoofing, ove il truffatore contatti il cliente con un numero riferibile all’intermediario, non è ravvisabile la sola colpa dell’utente: emerge un concorso di colpa tra la negligenza grave del cliente e le criticità organizzative del servizio di pagamento offerto dall’intermediario. Il rimborso delle operazioni non autorizzate può essere integrato da un risarcimento determinato in via equitativa.

Il Fatto

Il ricorrente ha rappresentato di aver ricevuto, il 16 aprile 2025, una chiamata da un numero apparentemente riconducibile al servizio clienti della propria banca. Il sedicente operatore lo avvisava di un bonifico di euro 490,00 in uscita dal conto e della necessità di procedere al relativo blocco, prospettando l’aggiornamento dell’app per completare l’operazione.

Il giorno successivo, insospettito da un malfunzionamento dell’applicazione, il cliente contattava il servizio clienti e scopriva che erano state eseguite undici operazioni, tra bonifici istantanei e ricariche telefoniche, per euro 6.079,00. La banca rimborsava euro 2.143,33, corrispondenti alle ricariche e a parte dei bonifici. Il ricorrente ha quindi chiesto il rimborso della restante parte, pari a euro 3.935,67.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. La disciplina prevede un regime probatorio di favore per l’utente, ispirato al principio del rischio d’impresa, richiamando la decisione del Collegio di Coordinamento n. 3498/2012. L’art. 10 del d.lgs. 11/2010 impone al prestatore di provare l’autenticazione e la corretta contabilizzazione delle operazioni, nonché il comportamento gravemente colposo dell’utilizzatore.

Quanto all’autenticazione forte, l’intermediario ha prodotto i log delle operazioni, dimostrando l’adozione di un sistema a doppio fattore, con fattore di possesso e di conoscenza. Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la prova della sola regolarità formale non soddisfa l’onere probatorio, essendo necessario indicare gli elementi di fatto da cui trarre la prova presuntiva della colpa grave.

Sul punto, la stessa narrativa del ricorrente conferma che la truffa si è realizzata mediante vishing. Il Collegio, richiamando la propria decisione n. 8749/2024, qualifica come colpa grave la condotta dell’utente che dia corso alle operazioni indotto dalla chiamata fraudolenta. Nel caso di specie, però, la frode si configura come vishing caller ID: il ricorrente ha comprovato con screenshot che il numero era riferibile all’intermediario. In simili fattispecie l’orientamento prevalente ravvisa un concorso colposo delle parti, imputando alla banca di non aver adottato i presidi necessari a impedire che il truffatore chiamasse con un numero riferibile all’intermediario.

Quanto agli alert, il Collegio esclude che l’avviso via email possa essere parificato a quello via SMS, non offrendo lo stesso grado di immediatezza. Nel caso di specie la mail pretesamente inviata risulta differente rispetto a quella inserita nel modulo di disconoscimento. Sull’obbligo di monitoraggio, l’art. 2 del Regolamento Delegato n. 2018/389 prevede un controllo ex post, non in tempo reale, come chiarito dalla Q&A dell’EBA n. 4090/2018.

Il Collegio accerta quindi una responsabilità dell’intermediario in concorso con il comportamento gravemente negligente del cliente e dispone, in aggiunta alle restituzioni già eseguite, il pagamento dell’ulteriore importo di euro 800,00, a titolo di risarcimento del danno determinato in via equitativa.