Vishing e social hacking con colpa grave escludono rimborso del bonifico autorizzato (ABF Collegio di Bologna n. 2066 del 09.03.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e resta fuori dal regime di responsabilità e di protezione previsto dal d.lgs. n. 11/2010, anche se il consenso è viziato dagli artifizi e raggiri del truffatore. Non per questo è preclusa la valutazione di una responsabilità dell’intermediario secondo il diritto comune. Nelle frodi di social hacking realizzate con la tecnica del vishing caller id spoofing la colpa grave dell’utente va esclusa in linea generale per l’insidiosità del mezzo, ma deve essere ravvisata quando il cliente segua pedissequamente le istruzioni telefoniche del sedicente operatore e non si avveda di messaggi fraudolenti riconoscibili per errori ortografici e per l’assenza degli elementi tipici delle comunicazioni genuine.

Il Fatto

La ricorrente, titolare di un conto corrente, chiedeva all’Arbitro il rimborso di Euro 3.900,00, importo di un unico bonifico eseguito in data 15.09.2025 e ritenuto frutto di frode. Esponeva di avere ricevuto una telefonata da un’utenza apparentemente riconducibile all’intermediario, con un messaggio preregistrato che annunciava tentativi di bonifici sospetti, e poi la chiamata di un sedicente operatore del servizio antifrode. Questi la avvisava che sarebbe stata contattata dai Carabinieri per bloccare le operazioni: un presunto carabiniere le chiedeva di entrare nell’home banking ed eseguire un bonifico “in modalità simulata” per bloccare quelli sospetti. Rassicurata da SMS apparentemente provenienti dalla banca, disponeva il bonifico. Accortasi della truffa, chiedeva invano all’intermediario l’annullamento.

L’intermediario eccepiva in via preliminare l’inammissibilità del ricorso per il mancato decorso dei quindici giorni tra reclamo e ricorso e, nel merito, chiedeva il rigetto, sostenendo che l’operazione era stata autenticata tramite fattore biometrico sul dispositivo della cliente e che il bonifico, accreditato su conto radicato presso lo stesso intermediario, non era più revocabile.

La motivazione del Collegio

Il Collegio respinge l’eccezione preliminare: il reclamo era stato respinto quasi nell’immediatezza e il ricorso era stato proposto a rigetto intervenuto, circostanza che rende legittima e rituale la proposizione del ricorso, a nulla rilevando l’omesso spirare del termine di quindici giorni.

Nel merito, la controversia riguarda un’operazione eseguita sotto il vigore del d.lgs. 27.01.2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della PSD 2. Secondo l’orientamento consolidato dei Collegi, richiamato nel provvedimento, quando l’operazione è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, essa va considerata autorizzata e non è soggetta al regime di responsabilità del decreto legislativo, neppure se il consenso è viziato da raggiri. Poiché la ricorrente aveva eseguito direttamente il bonifico, non trovava applicazione l’art. 10, comma 1, d.lgs. n. 11/2010.

Il Collegio valuta comunque l’eventuale responsabilità dell’intermediario secondo il diritto comune. La frode è qualificata come social hacking mediante vishing caller id spoofing: chiamate da utenze apparentemente riferibili alla banca. Se in linea generale l’insidiosità della tecnica esclude la colpa grave dell’utente, nella specie la colpa grave emerge da più indici: la ricorrente ha seguito pedissequamente le istruzioni telefoniche del sedicente carabiniere, cooperando alla truffa nella convinzione inverosimile di eseguire un bonifico per bloccarne altri; i messaggi fraudolenti erano riconoscibili per evidenti errori ortografici e per l’assenza di incipit, di riferimenti al conto e del numero da contattare; l’utenza mobile della seconda chiamata non era riconducibile al servizio antifrode; infine, poco prima dell’operazione la cliente aveva effettuato numerosi accessi all’home banking ed era nella condizione di avvedersi dell’assenza di movimenti anomali.

Nessuna responsabilità è invece ravvisabile nell’intermediario: l’operazione non integra i parametri dell’art. 8 del D.M. 112/2007 in materia di rischio di frode, la banca ha inviato un SMS alert e il recall non era possibile perché il bonifico era indirizzato a un beneficiario con conto radicato presso lo stesso intermediario, con esecuzione immediata e irrevocabilità. Il ricorso è quindi non accolto.