Vishing con caller ID e spoofing: concorso di colpa e risarcimento equitativo (ABF Collegio di Roma n. 3624 del 23.04.2026)

Principi di diritto (Massima)
Nei casi di vishing caratterizzati da caller ID spoofing — cioè quando il truffatore contatta il cliente utilizzando un numero telefonico riferibile all’intermediario — e in cui i messaggi fraudolenti si incasellano nella chat genuina dell’istituto, non può affermarsi la sola colpa grave dell’utente. Il Collegio ravvisa invece un concorso di colpa: alla negligenza grave del cliente, che agevola la truffa, si affiancano le criticità organizzative del servizio di pagamento, che non ha adottato tutti i presidi necessari a impedire la contraffazione dell’identità del chiamante. Il danno derivante dalle operazioni non autorizzate viene liquidato in via equitativa, tenendo conto del concorso causale di entrambe le parti.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 17.09.2025 una chiamata da un sedicente operatore dell’intermediario, che lo invitava a verificare la ricezione di SMS relativi al blocco di un bonifico istantaneo eseguito da un dispositivo a lui non riconducibile. Durante la conversazione, il sedicente operatore lo induceva a entrare nell’app bancaria e a inserire cinque bonifici, prospettando un immediato storno. Accortosi della frode, il ricorrente si rivolgeva al servizio clienti e chiedeva il rimborso di € 5.374,00.

L’intermediario eccepiva il proprio estraneo coinvolgimento: il numero chiamante era sì riferibile al servizio clienti, ma riservato a una particolare categoria di clientela cui il ricorrente non apparteneva; gli SMS fraudolenti recavano la dicitura “Alert[nome intermediario]” e un tono anomalo; il cliente avrebbe potuto accorgersi della frode consultando i movimenti. L’intermediario invocava la conformità alla normativa PSD2 e l’adozione di un sistema di autenticazione forte, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio inquadra la vicenda come vishing caller ID. Il dato dirimente è che il numero telefonico utilizzato dal truffatore corrisponde a un’utenza dell’intermediario, ancorché dedicata a un canale di clientela diverso da quello del ricorrente. Tale circostanza non è decisiva in senso contrario: si tratta comunque di un’utenza riferibile all’istituto.

La decisione richiama l’orientamento consolidato secondo cui, nelle ipotesi di vishing e smishing, l’utente che dà corso all’operazione versa in colpa grave, data l’ampia diffusione dei fenomeni e la sufficienza di una media diligenza per evitarli (cfr. Collegio di Roma n. 2195/2023 e n. 12091/2021). Tuttavia, in presenza di caller ID spoofing, l’orientamento prevalente tra i Collegi territoriali ravvisa un concorso colposo, imputando all’intermediario di non aver adottato tutti i presidi necessari a impedire che il truffatore chiamasse il cliente con un numero riferibile all’istituto (Collegio di Milano n. 17467/2021).

Il Collegio valorizza inoltre l’inserimento dei messaggi fraudolenti nella chat genuina dell’intermediario (tranne il primo): una dinamica assimilabile allo spoofing, in cui l’SMS “esca” reca il mittente dell’istituto e si colloca nella conversazione con i messaggi autentici. Anche in tal caso è ravvisabile un concorso di colpa tra la negligenza grave dell’utente e le criticità organizzative del servizio di pagamento (Collegio di Roma n. 1625/2022).

Alla luce di questi elementi e delle previsioni del d.lgs. n. 11 del 2010, il Collegio accerta la responsabilità dell’intermediario in concorso con il comportamento gravemente negligente del cliente e dispone il pagamento di € 3.000,00, liquidati in via equitativa, oltre al rimborso di € 20,00 per il contributo del ricorrente e al versamento di € 200,00 a favore della Banca d’Italia.