Vishing con caller id spoofing e concorso colposo dell’intermediario nell’operazione PagoPA (ABF Collegio di Roma n. 3948 del 05.05.2026)

Principi di diritto (Massima)
In presenza di un’operazione di pagamento disconosciuta perfezionatasi a seguito di vishing con caller id spoofing, il Collegio ravvisa un concorso colposo tra intermediario e cliente. All’intermediario si imputa di non avere adottato tutti i presidi necessari a impedire che il frodatore contattasse il cliente con un numero apparentemente riconducibile alla banca. Al cliente si imputa di avere comunicato le credenziali di accesso e i codici di sicurezza in violazione dei doveri di custodia. Il servizio di alert non è rilevante quando l’operazione fraudolenta è unica o concentrata in un arco di tempo limitato. Il rimborso è pertanto determinato in via equitativa, in misura ridotta rispetto al pregiudizio patito.

Il Fatto

Il ricorrente rappresenta di essere stato contattato al telefono da un sedicente addetto alla sicurezza della banca, che lo informava di bonifici in uscita dal conto e gli suggeriva di mettere al sicuro il saldo. Seguendo le indicazioni, il cliente forniva il codice cliente e tre numeri del codice di sicurezza. Poco dopo riceveva una notifica dell’app per un pagamento PagoPA di € 5.072,00 e, contattando la filiale, si avvedeva di essere stato vittima di una truffa.

L’intermediario eccepiva che l’operazione era stata eseguita tramite internet banking con autenticazione a due fattori, senza indici di anomalia, e che l’evento si era perfezionato per la collaborazione attiva del cliente, che aveva indebitamente comunicato le credenziali. La banca rilevava inoltre una discordanza tra l’orario della telefonata dichiarato e quello dei log, e contestava l’attendibilità del registro chiamate prodotto.

La motivazione del Collegio

Il Collegio ricostruisce la sequenza dei passaggi registrati dai log, tutti presidiati da SCA. Il cliente effettuava l’accesso all’app con fattore biometrico, visualizzava il codice di sicurezza e approvava la richiesta di login tramite notifica push. Il frodatore, collegato da browser, recuperava la password con l’OTP inviato al numero certificato e inoltrava la richiesta di pagamento, autorizzata dal device del ricorrente con fattore biometrico.

La frode è pertanto riconducibile alla truffa nota come caller id spoofing, in combinazione con messaggi di spoofing. Secondo il più recente orientamento dei Collegi, richiamato nella decisione, la chiamata proveniente da un numero apparentemente riconducibile all’intermediario è equiparabile all’sms spoofing. Ne consegue il riconoscimento di un concorso colposo delle parti, con imputazione all’intermediario della colpa di non avere adottato tutti i presidi di sicurezza necessari a impedire che il truffatore contattasse il cliente con un numero riferibile alla banca.

Il Collegio non attribuisce rilievo all’eccezione dell’intermediario secondo cui il pagamento PagoPA andrebbe rimborsato dall’ente beneficiario. La disponibilità degli enti a restituire le somme è sovente subordinata all’emissione di un provvedimento dell’autorità giudiziaria, e il Collegio di Torino non ha dato specifica rilevanza ad analoga eccezione, riconoscendo un concorso di colpa al 50%.

Quanto al servizio di alert, l’intermediario ha fornito evidenza dell’invio di sms con OTP e di notifiche push durante l’operatività fraudolenta. Tuttavia, in presenza di una sola operazione di pagamento o di più transazioni concentrate in un arco di tempo limitato, la ricezione del messaggio non consentirebbe in concreto di limitare il pregiudizio.

Accertati i presupposti del concorso di colpa, il Collegio riconosce al ricorrente, in parziale accoglimento del ricorso, la somma di € 1.500,00 a titolo risarcitorio, equitativamente determinata, oltre al rimborso di € 20,00 e al contributo di € 200,00 alle spese di procedura.