Vishing e controllo remoto: colpa grave dell’utente e obblighi di blocco della banca (ABF Collegio di Roma n. 3665 del 24.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario può sottrarsi alla responsabilità risarcitoria solo quando provi la colpa grave dell’utilizzatore. La produzione documentale che attesti la mera autenticazione e la formale regolarità dell’operazione non soddisfa, di per sé, l’onere probatorio: occorre indicare gli elementi di fatto che, in via presuntiva, rivelino l’elevato e abnorme grado di negligenza dell’utente. Integra colpa grave la condotta di chi, su indicazione del frodatore, installi sul proprio smartphone un’applicazione di controllo remoto, consentendo al terzo di disporre i pagamenti. L’intermediario non è tenuto al blocco preventivo delle operazioni quando difettino gli indici di frode e non sia allegata l’anomalia dell’operazione rispetto all’operatività fisiologica del conto.

Il Fatto

La ricorrente chiede la restituzione di euro 7.000,00, corrispondenti a un bonifico ordinario eseguito sul proprio conto corrente. Espone di essere stata vittima di una truffa di tipo vishing: l’8.7.2025 riceveva una telefonata apparentemente proveniente dall’intermediario, con voce registrata che la avvertiva di un pagamento sospetto e la invitava a premere un tasto per essere ricontattata. Richiamata da un sedicente operatore, veniva indotta a installare sul proprio smartphone, tramite un link ricevuto via SMS, un’applicazione; dopo l’installazione il telefono si spegneva e doveva restare spento fino all’indomani.

Il giorno successivo la ricorrente si avvedeva che era stato disposto il bonifico fraudolento e contestava alla banca il mancato blocco di un’operazione evidentemente anomala. L’intermediario eccepiva la colpa grave della cliente e la corretta autorizzazione dell’operazione, con accesso all’home banking tramite codice di accesso e autenticazione con PIN nel token app configurato sul dispositivo ormai sotto il controllo del truffatore, oltre all’invio di SMS alert e notifica push.

La motivazione del Collegio

Il Collegio muove dal quadro del d.lgs. n. 11 del 2010, come aggiornato in recepimento della direttiva PSD2, e dalle norme tecniche EBA sul Reg. UE 2018/389 in materia di Strong Customer Authentication. Richiama l’art. 8, che impone al prestatore di assicurare l’inaccessibilità dei dispositivi personalizzati a soggetti diversi dall’utilizzatore, e l’art. 7, che pone in capo all’utilizzatore l’obbligo di adottare misure idonee a garantire la sicurezza dei dispositivi medesimi.

Sul piano probatorio, l’art. 10, co. 1, del medesimo decreto pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745 del 2019, secondo cui la documentazione sull’autenticazione non basta: l’intermediario deve indicare gli elementi di fatto da cui desumere, in via presuntiva, la colpa grave dell’utente. Viene poi richiamato il principio della domanda e del contraddittorio affermato dalla decisione n. 10929/2016, che delimita il perimetro delle allegazioni esaminate dall’Arbitro.

Nel caso concreto, l’intermediario produce evidenze della corretta autenticazione: accesso via app tramite digitazione del codice di accesso della ricorrente, elemento di conoscenza, all’interno del token app configurato sul suo smartphone, elemento di possesso. Quanto alla condotta dell’istante, risulta che la stessa abbia scaricato un’applicazione di controllo remoto, tramite la quale il truffatore ha disposto l’operazione disconosciuta. Il Collegio richiama sul punto la propria decisione n. 4317/2024, che riconosce la colpa grave dell’utente che installi un software la cui funzionalità risiede nel permettere l’accesso e il controllo da remoto.

Non risulta provato lo spoofing del caller ID, poiché la ricorrente non ha prodotto il registro delle chiamate e il numero indicato nella denuncia non è riconducibile all’intermediario. Quanto al dedotto mancato blocco preventivo, l’art. 2 del Regolamento Delegato (UE) n. 2018/389 impone meccanismi di monitoraggio, che secondo l’interpretazione EBA possono operare anche ex post, come ribadito dalla decisione n. 2534 del 2022. Non ricorrono inoltre gli indici di frode dell’art. 8, D.M. n. 112/2007, e la ricorrente non ha allegato elementi di anomalia dell’operazione rispetto all’operatività del conto.

Alla luce di tali rilievi, la domanda di rimborso è infondata e il Collegio respinge il ricorso.