Vishing con callerId spoofing e colpa grave del cliente: ricorso respinto (ABF Collegio di Roma n. 4723 del 26.05.2026)

Principi di diritto (Massima)
In materia di vishing e callerId spoofing l’Arbitro non afferma un automatismo di esclusione della colpa grave del cliente. La sofisticatezza della frode giustifica l’esclusione della colpa solo quando non emergano indici di inattendibilità del messaggio esca, idonei a imporre un innalzamento della soglia di attenzione. Tali indici, unitamente alle anomalie complessive della condotta del ricorrente e alla mancata produzione della documentazione richiesta dal Collegio, possono integrare un concorso di colpa e condurre al rigetto della domanda di rimborso delle operazioni disconosciute. La valutazione è dunque caso per caso e investe tanto il profilo della frode quanto il comportamento del cliente.

Il Fatto

La ricorrente chiede la condanna dell’intermediario al pagamento di euro 9.960,00, a fronte di un rimborso solo parziale, e il risarcimento dei danni anche non patrimoniali. Espone di aver ricevuto un SMS e una telefonata apparentemente provenienti dalla banca, con segnalazione di anomalie e bonifici dall’estero; in stato di forte stress sarebbe stata indotta a disporre ricariche, pagamenti e tre bonifici.

L’intermediario eccepisce l’inammissibilità del ricorso per genericità e il difetto di legittimazione passiva quanto alle operazioni su carta di altro emittente, e nel merito sostiene che le transazioni contestate sono state autorizzate dalla cliente, che ha inserito le proprie credenziali e utilizzato l’OTP ricevuto sul numero certificato. La banca riferisce di aver avviato le procedure di recall, rimaste senza esito.

La motivazione del Collegio

Il Collegio prende atto che, con le repliche, la ricorrente delimita la domanda ai soli tre bonifici disconosciuti, per un totale di euro 9.960,00. Tale precisazione consente di ritenere superate le eccezioni di genericità e di difetto di legittimazione passiva, essendo la pretesa circoscritta alle operazioni compiute a valere sulla carta dell’odierno resistente.

I bonifici risultano disposti da un device nuovo certificato. La certificazione si è perfezionata con l’inserimento di username e password della ricorrente, quale fattore di conoscenza, e del codice OTP trasmesso via SMS sul numero di cellulare della stessa, quale fattore di possesso. Il Collegio richiama le raccomandazioni contenute nella Opinion EBA dell’aprile 2024, che suggeriscono, in occasione della registrazione di un nuovo dispositivo, di prevedere uno spazio temporale idoneo prima che il device sia operativo e di integrare il monitoraggio delle transazioni con lo screening delle operazioni ricevute dal PSP del beneficiario.

Quanto alla modalità della frode, il Collegio richiama il proprio orientamento in materia di spoofing, cui ritiene di dare continuità (Collegio di Roma, decisione n. 6197/24). In tali casi l’Arbitro non ritiene sussistere la colpa grave del cliente in ragione della peculiare sofisticatezza della frode, salvo che non si riscontrino indici di inattendibilità del messaggio esca, che avrebbero dovuto generare un innalzamento della soglia di attenzione, accertando in tal caso un concorso di colpa. Tra gli indici il Collegio menziona gli errori grammaticali o sintattici.

Nel caso concreto il Collegio esamina l’SMS truffaldino, il cui mittente sembra riconducibile alla banca, ma il cui testo contiene un errore grammaticale e un registro linguistico mutevole, ed è seguito da un messaggio genuino dell’intermediario. Quanto alla chiamata, il numero riportato in denuncia corrisponde a un’utenza riferibile alla banca, ma non viene prodotta la lista chiamate. Il Collegio ha quindi chiesto alla ricorrente la produzione delle schermate del registro chiamate del giorno della truffa; in riscontro sono state prodotte schermate in cui accanto al contatto truffaldino compare un punto esclamativo e un segnale di alert, oltre a una schermata riportante un’utenza privata.

Il Collegio si interroga se la fattispecie integri il vishing callerId spoofing, frode insidiosa al pari dello SMS spoofing, o un semplice vishing. Rileva che la ricorrente assume che l’intermediario avrebbe dovuto intercettare l’anomalia della movimentazione per il profilo storico e per la sua invalidità. Tuttavia le predominanti anomalie nell’excursus storico operativo, già evidenziate, unitamente alla mancata produzione documentale richiesta, inducono il Collegio a respingere il ricorso.