Vishing con caller ID falsificato e biometria: concorso colposo e rimborso equitativo (ABF Collegio di Roma n. 1025 del 04.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento online disconosciute, il prestatore di servizi di pagamento che abbia predisposto un sistema di autenticazione forte del cliente conforme alla PSD2 non risponde automaticamente della perdita subita dall’utente. Quando la frode si realizza mediante vishing con caller ID contraffatto, il Collegio accerta un concorso colposo: all’intermediario si imputa il rischio d’impresa connesso alla modalità di comunicazione adottata e propedeutica alle disposizioni; al cliente si imputa la condotta che, pur senza dolo, ha agevolato l’esecuzione delle transazioni. La colpa grave del pagatore va valutata in concreto e non coincide con il solo inserimento di uno dei fattori di autenticazione. Il rimborso è liquidato in via equitativa; gli interessi legali sono riconosciuti solo se espressamente domandati, mentre è esclusa la rivalutazione monetaria sui debiti di valuta.

Il Fatto

La ricorrente e il cointestatario del conto comune ricevevano notifiche di tentativi di pagamento di importo irrisorio non andati a buon fine. Contattato il numero ufficiale di assistenza, l’operatore riscontrava i tentativi provenienti dall’estero e bloccava la carta di debito. Il lunedì successivo il cointestatario veniva richiamato da un numero identico a quello dell’assistenza: un interlocutore, presentatosi come membro del team della banca, prospettava movimenti anomali dall’estero e induceva il cliente a eseguire un primo bonifico istantaneo con una descrizione predeterminata, rappresentandogli che la procedura serviva a riottenere l’accredito di alcuni bonifici. Lo stesso interlocutore contattava poi la ricorrente, invitandola ad accettare le notifiche di autorizzazione in arrivo e a pronunciare una formula di diniego per ogni operazione. La linea cadeva più volte e la chiamata veniva ripresa sempre dal medesimo numero.

La ricorrente scopriva in seguito di essere stata vittima di una truffa: tre operazioni di pagamento online, eseguite tra le 12:40 e le 12:45 del 12.05.2025 a favore del medesimo beneficiario, per complessivi euro 1.990,00. Chiedeva il rimborso integrale, oltre interessi e spese, escludendo la propria colpa grave perché non aveva fornito codici utente, PIN, OTP o numeri di carta. L’intermediario eccepiva la colpa grave dell’utente e l’avvenuta autenticazione tramite APP con fattore biometrico, chiedendo in subordine l’applicazione della franchigia.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis: le operazioni sono successive al 14.09.2019, data di efficacia delle norme tecniche di regolamentazione introdotte dal regolamento delegato (UE) n. 2018/389 e delle modifiche al d.lgs. n. 11/2010 recate dal d.lgs. n. 218/2017. Richiama l’art. 10-bis del d.lgs. n. 11/2010, che impone l’autenticazione forte anche per le azioni compiute a distanza che comportano rischio di frode, e l’art. 12, comma 2-bis, che esonera il pagatore da ogni perdita quando il prestatore non esiga la SCA. La nozione di autenticazione forte richiede due o più elementi indipendenti tra conoscenza, possesso e inerenza, secondo la definizione dell’art. 1, comma 1, lett. q-bis).

Sul punto il Collegio richiama l’Opinion dell’EBA del 21 giugno 2019, che esclude la validità dei dati stampati sulla carta quali elementi autonomi di possesso o conoscenza. Ne trae la conferma che l’inserimento dei dati della carta, da solo, non integra un idoneo fattore di autenticazione, citando proprie precedenti decisioni. Nel caso concreto, però, l’intermediario ha dimostrato l’autenticazione mediante push notification sul device e conferma con fattore biometrico: un sistema ritenuto conforme alla SCA dallo stesso Collegio.

Il passaggio centrale riguarda le operazioni autorizzate con intervento parziale del pagatore. Secondo l’orientamento condiviso tra i Collegi, se il concorso causale dell’utente è parziale la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso. Resta ferma la valutazione in concreto del dolo o della colpa grave, ai sensi dell’art. 12 del d.lgs. n. 11/2010 e degli obblighi dell’art. 7.

Quanto al monitoraggio, il Collegio ribadisce che i principi del D.M. 112/2007 non hanno valore precettivo diretto, ma esprimono un generale obbligo di vigilanza valutabile insieme a indici di frode ulteriori, desunti dal numero, dalla tipologia, dall’importo, dal tempo di esecuzione e dalla riconducibilità delle operazioni al medesimo beneficiario. Nel caso di specie non emergono anomalie tali da ritenere tardiva l’attivazione dell’intermediario. Irrilevante è poi la mancata attivazione degli alert quando le transazioni si susseguono a pochi minuti di distanza, perché la ricezione non avrebbe limitato il pregiudizio.

Il Collegio qualifica infine la vicenda come vishing con caller ID contraffatto, frode insidiosa assimilabile allo spoofing. All’intermediario si imputa la colpa per il rischio d’impresa connesso alla modalità di comunicazione adottata; al cliente la condotta che ha agevolato le disposizioni. Valutato il concorso, liquida in via equitativa euro 1.000,00 a titolo risarcitorio, accogliendo parzialmente il ricorso e respingendo il resto. Gli interessi legali sono riconosciuti in presenza di esplicita domanda; la rivalutazione monetaria è esclusa sui debiti di valuta.