Vishing e operazione autorizzata con SCA: responsabilità esclusiva dell’utente (ABF Collegio di Roma n. 2230 del 12.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza, qualora l’intermediario fornisca la prova dell’autenticazione forte del cliente (SCA) mediante documentazione tecnica attestante l’inserimento dei fattori di possesso e di conoscenza, l’operazione si considera autorizzata e non ricade nel regime di responsabilità di cui alla PSD 2. La produzione di tale prova non esaurisce tuttavia l’onere probatorio, dovendo il prestatore di servizi di pagamento dimostrare anche l’assenza di un proprio apporto causale alla frode. Nel caso di vishing posto in essere tramite utenza telefonica non riconducibile all’intermediario, difettando qualsiasi difetto organizzativo del canale ufficiale, la condotta gravemente negligente dell’utente che dia seguito alle istruzioni del sedicente operatore integra colpa grave ed esclude il concorso di responsabilità della banca.

Il Fatto

Il ricorrente, a seguito di un reclamo del 28.07.2025, esponeva di essere stato contattato sul proprio cellulare da un soggetto qualificatosi come carabiniere, il quale lo informava di operazioni sospette sulla sua carta bancomat. Poco dopo riceveva una seconda chiamata da un sedicente impiegato della banca, che gli impartiva istruzioni sull’app dell’istituto per bloccare le presunte operazioni.

Eseguendo tali indicazioni e autorizzando, previa ricezione di SMS, un acquisto online di euro 3.100,00, il ricorrente subiva l’addebito. Contattati i Carabinieri, apprendeva che nessuna comunicazione era stata effettuata nei suoi confronti. Chiedeva pertanto il rimborso della somma distratta. La banca resistente eccepiva l’inammissibilità del ricorso per litispendenza, per genericità della domanda e, nel merito, invocava la colpa grave esclusiva del ricorrente, avendo l’operazione rispettato la SCA tramite codice OTP e codice statico 3DS.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di litispendenza, rilevando che la stessa va verificata sotto il profilo soggettivo della corrispondenza delle domande (richiamando la decisione del Collegio di Roma n. 14854/2022). Nel caso concreto l’intermediario non è parte del procedimento penale attivato dalla denuncia-querela: dinanzi all’Arbitro si discute di responsabilità contrattuale dell’intermediario, mentre il giudizio penale riguarda l’imputazione del reato in capo ai truffatori. L’eccezione è quindi infondata.

Quanto alla dedotta genericità del ricorso, il Collegio ribadisce che l’inammissibilità opera solo quando l’allegazione sia assolutamente generica e indeterminata, e non quando i documenti siano specifici ma sforniti di supporto probatorio: in tale seconda ipotesi la carenza documentale conduce al rigetto nel merito. Poiché il ricorrente ha ricostruito l’accaduto nella denuncia e formulato la domanda di rimborso, il petitum e la causa petendi risultano determinati.

Nel merito, l’operazione contestata è stata eseguita l’11.07.2025 mediante la tecnica del vishing. Il Collegio richiama la disciplina della PSD 2 (direttiva 2015/2366/UE, recepita con il d.lgs. n. 218/2017, modificativo del d.lgs. n. 11/2010) e il principio della decisione del Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione e della formale regolarità dell’operazione non soddisfa da sola l’onere probatorio, occorrendo elementi di fatto sulle modalità esecutive da cui desumere in via presuntiva la colpa grave dell’utente.

Nella specie, l’intermediario ha provato l’autenticazione forte mediante documentazione tecnica attestante l’inserimento dei dati della carta, del codice OTP (fattore di possesso) inviato via SMS e del codice statico 3DS (fattore di conoscenza), con tracciature informatiche dell’avvenuta autorizzazione e successiva notifica push. Il Collegio ricorda che, pur in presenza di operazione autorizzata, resta possibile una responsabilità concorrente dell’intermediario nelle operazioni sotto dettatura originate da SMS spoofed o vishing caller id, ascrivibili a difetti organizzativi della banca.

Tale evenienza è però esclusa: non risultano SMS o chiamate provenienti dal canale ufficiale dell’intermediario, essendo il numero del sedicente operatore non riconducibile alla banca. Difetta dunque alcun apporto causale della resistente alla frode. La condotta del ricorrente, che ha dato seguito con ingenuità alle indicazioni del truffatore, integra colpa grave ed esclusiva responsabilità dell’utente (cfr. Collegio di Roma n. 6534/2024 e n. 9898/2023). Il ricorso è pertanto respinto.