Vishing con caller id spoofing e concorso di colpa dell’utente (ABF Collegio di Bologna n. 2060 del 09.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate conseguenti a frode di social hacking realizzata con la tecnica del vishing caller id spoofing, l’intermediario che provi l’avvenuta autenticazione forte ex art. 10, comma 1, d.lgs. n. 11/2010 soddisfa l’onere documentale, ma non quello, ulteriore, di dimostrare la colpa grave dell’utilizzatore ex art. 10, comma 2. La colpa grave sussiste quando il cliente segua pedissequamente le istruzioni telefoniche del truffatore e consenta l’enrollment dell’App su un secondo dispositivo, cooperando attivamente alla frode. A tale colpa si affianca quella dell’intermediario che ometta di bloccare operazioni oggettivamente anomale per frequenza, importo seriale e identità del beneficiario. Il danno si liquida equitativamente per concorso di colpa ai sensi dell’art. 1226 c.c.

Il Fatto

La ricorrente, titolare di un conto corrente, chiede all’Arbitro il risarcimento di Euro 49.618,00 per n. 70 bonifici non autorizzati, eseguiti tra il 07.08.2025 e il 20.08.2025 per complessivi Euro 69.472,00, di cui solo venti bloccati e riaccreditati. Deduce di essere stata vittima di un attacco informatico iniziato con un SMS civetta e proseguito con una chiamata da un’utenza apparentemente riconducibile alla banca, durante la quale un sedicente operatore le ha fatto inserire le credenziali su un sito clone e le ha suggerito di disinstallare l’App.

L’intermediario resiste sostenendo la piena conformità del sistema alla SCA prevista dalla direttiva PSD2 (UE 2015/2366), l’avvenuta autenticazione a due fattori e la colpa grave della cliente ex art. 7, comma 2, d.lgs. n. 11/2010. Offre in via transattiva Euro 31.760,00, con manleva e rinuncia agli atti; la proposta è respinta.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: le operazioni ricadono sotto il d.lgs. 27.01.2010, n. 11, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Dalle tracciature informatiche prodotte emerge che il 07.08.2025, alle ore 10:51, è stato attivato un secondo Mobile Token tramite dispositivo diverso da quello della cliente, con inserimento del codice PIN (elemento della conoscenza) e del codice OTP (elemento del possesso). Anche gli accessi in App e i singoli bonifici risultano eseguiti con la medesima autenticazione forte a due fattori. L’onere documentale ex art. 10, comma 1 è dunque assolto, come già ritenuto dal Collegio di Bologna, decisione n. 10470/2024.

Il Collegio richiama poi il Collegio di Coordinamento, decisione n. 22745/19: la produzione documentale sull’autenticazione non esaurisce l’onere probatorio, occorrendo elementi di fatto dai quali desumere in via presuntiva la colpa grave dell’utente. Sul punto osserva che la frode, qualificata come vishing caller id spoofing, è in linea generale insidiosa e non integra di per sé colpa grave. Tuttavia, nella specie la ricorrente ha incautamente e pedissequamente seguito le istruzioni del truffatore, consentendo l’enrollment dell’App su un secondo dispositivo e cooperando così attivamente alla truffa in proprio danno.

Il giudizio è confermato da due rilievi: l’SMS civetta, pur inseritosi nella chat genuina con la banca, è grammaticalmente anomalo (passaggio dal “tu” al “lei”) e contiene un’inusuale richiesta di accesso a un link; il numero chiamante coincide con il numero verde del servizio clienti, dal quale notoriamente la banca può solo ricevere e non effettuare chiamate. Da qui la colpa grave della ricorrente.

Su altro versante, il Collegio rileva la responsabilità concorrente dell’intermediario: numerosi bonifici apparivano oggettivamente anomali, eseguiti in rapida sequenza nell’arco di 24 ore, per importi di circa Euro 990,00 e sempre verso il medesimo IBAN. Il 07.08.2025, ad esempio, sei bonifici quasi identici a favore dello stesso beneficiario. Tali circostanze avrebbero dovuto sollecitare il blocco del conto, riconducendosi alla fattispecie, interpretata estensivamente, del rischio di frode di cui all’art. 8, D.M. 30.04.2007, n. 112.

Il Collegio accerta pertanto un concorso di colpa e liquida equitativamente il rimborso in Euro 35.000,00. Quanto alle spese legali di Euro 200,00, richiamata la decisione n. 4580/2025 del Collegio di Coordinamento, ne riconosce il rimborso stante il carattere particolarmente complesso della controversia, che ha reso necessaria l’assistenza tecnica.