Truffa vishing e SMS spoofing concorso di colpa del cliente rimborso equitativo (ABF Collegio di Roma n. 4386 del 14.05.2026)

Principi di diritto (Massima)
Nei casi di spoofing — l’invio di messaggi o la simulazione dell’utenza dell’intermediario — il meccanismo di aggressione è particolarmente insidioso e rivela criticità organizzative del servizio di pagamento offerto. Per questa ragione non è generalmente ravvisabile la colpa grave del cliente, salvo che il messaggio esca presenti indici di inattendibilità o anomalia. Quando però il cliente, senza anomalie nel messaggio, agevoli l’azione dei truffatori seguendone le indicazioni, si configura un concorso di colpa tra le parti, che giustifica la liquidazione del rimborso in via equitativa.

Il Fatto

Il ricorrente riferisce di essere stato contattato, il 25.04.2025, da un soggetto presentatosi come operatore dell’intermediario. Contestualmente riceveva un SMS apparentemente proveniente dall’intermediario, che confermava l’esistenza della chiamata, seguito da un ulteriore messaggio contenente un codice di verifica. Il finto operatore, a conoscenza di dati personali del cliente, prospettava transazioni sospette effettuate da un dispositivo a Copenaghen e induceva il ricorrente ad attivare una nuova carta, chiedendogli poi di pronunciare il codice di attivazione.

Creato il nuovo strumento di pagamento, il ricorrente constatava due prelievi ATM non autorizzati, di 1.016,00 e 969,00 euro, per un totale di 1.985,00 euro. Chiedeva quindi il rimborso e il risarcimento del danno. L’intermediario eccepiva che il cliente aveva collaborato con i truffatori associando la carta al conto, che l’utenza chiamante non era riconducibile alla banca e che la condotta integrava colpa grave.

La motivazione del Collegio

Il Collegio ricostruisce la dinamica della frode qualificandola come vishing misto a spoofing. Dalle tracciature interne emerge che la carta era già in possesso dei truffatori, acquisita tramite distributori automatici e attivata solo mediante collegamento a un account registrato; l’attivazione richiede una transazione con chip e PIN, mostrato all’utente al momento del collegamento.

I log dimostrano che il ricorrente accedeva al conto dal proprio dispositivo certificato mediante riconoscimento biometrico facciale e associava la carta inserendone il numero, confermando l’operazione con la medesima modalità biometrica. Successivamente visualizzava il PIN tramite l’applicazione e lo comunicava ai frodatori. I prelievi avvenivano così con chip e PIN, conformemente ai requisiti di autenticazione forte del cliente.

Il punto dirimente, per il Collegio, è che la truffa si è svolta anche tramite SMS spoofing. Se è vero che il numero chiamante non è riconducibile alla banca, altrettanto vero è che la chiamata è stata accompagnata dal contestuale ricevimento di un SMS proveniente da un contatto recante il nome dell’intermediario. Dall’esame della schermata emerge che il primo messaggio è quello esca, mentre gli altri due appaiono genuini, contenendo un codice OTP di verifica e la conferma dell’associazione del numero telefonico all’account.

Richiamando l’orientamento dei Collegi territoriali, il Collegio ribadisce che nelle fattispecie di spoofing l’insidiosità del meccanismo rivela criticità organizzative del servizio e non consente di ravvisare la colpa grave del cliente, salvo indici di anomalia. Nel caso concreto l’SMS civetta non presentava tali indici, non contenendo conclamati errori grammaticali. Tuttavia il ricorrente ha agevolato il compimento della truffa seguendo le indicazioni del sedicente operatore.

Da qui la conclusione: sussiste un concorso di colpa tra le parti. Il Collegio accoglie parzialmente il ricorso e liquida in via equitativa la somma di euro 1.000,00 in favore del ricorrente, oltre al rimborso di euro 20,00 per il versamento alla presentazione del ricorso e al contributo di euro 200,00 alle spese della procedura in favore della Banca d’Italia.