Concorso di colpa cliente-banca nel bonifico fraudolento da vishing e spoofing (ABF Collegio di Roma n. 2737 del 26.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate disposte mediante home banking, il sistema di autenticazione che garantisca un elevato livello di sicurezza e il cui corretto funzionamento sia documentato dai log non presenta profili di malfunzionamento. Nelle frodi realizzate con artifizi e raggiri riconducibili al vishing e allo spoofing, l’utente che dia corso all’operazione versa in colpa grave, ma all’intermediario sono ascrivibili le criticità organizzative del servizio di pagamento. Ne deriva un concorso di colpa ai sensi dell’art. 1227 c.c., con ripartizione delle conseguenze dannose in ragione delle rispettive responsabilità. L’intermediario non è tenuto a bloccare preventivamente l’operazione, potendo i meccanismi di monitoraggio operare ex post.

Il Fatto

Il ricorrente è titolare di un conto corrente presso l’intermediario resistente. Il 18 settembre 2025, alle ore 15.34, veniva contattato telefonicamente da un numero apparentemente riconducibile alla banca. L’interlocutore segnalava presunte operazioni fraudolente e invitava il cliente a installare sullo smartphone un’applicazione “antivirus” per mettere in sicurezza il conto. Seguiva la comunicazione che l’utenza sarebbe stata posta in “manutenzione”, con accesso al rapporto di fatto oscurato.

Il giorno successivo, persistendo l’impossibilità di accedere al conto, il proponente contattava la filiale e apprendeva che era stato disposto un bonifico di euro 18.600,00. Il ricorrente contestava la mancata trasmissione di alert e l’assenza di iniziative per il richiamo delle somme, chiedendo la retrocessione dell’importo. La banca eccepiva la colpa grave del cliente, l’avvenuta autenticazione mediante PIN e l’invio di SMS alert.

La motivazione del Collegio

Il Collegio muove dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della c.d. PSD 2. L’intermediario ha offerto riscontro del procedimento di autorizzazione producendo i relativi log, con buon fine della digitazione dei codici: il sistema di autenticazione adottato in fase dispositiva garantisce un elevato livello di sicurezza, secondo l’indicazione della Collegio di Roma, decisione n. 10677/2023. Non emergono riscontri di malfunzionamenti.

Sul versante del cliente, il Collegio rileva che il ricorrente ha assecondato le istruzioni di un sedicente operatore, installando un’applicazione malevola e consentendo il controllo da remoto del servizio di home banking. Il registro chiamate prodotto conferma il contatto. In ipotesi di vishing, valutabili alla stregua dello smishing, l’utente che dà corso all’operazione versa in colpa grave.

La frode non si differenzia in modo significativo dalle ipotesi di spoofing, in cui il mittente apparente è l’intermediario. Secondo la posizione condivisa dai Collegi territoriali, in tali fattispecie è ravvisabile un concorso di colpa tra la negligenza grave dell’utente e le criticità organizzative del servizio di pagamento (Collegio di Roma, decisione n. 1625/2022).

Quanto all’obbligo di blocco preventivo, la mancata pregressa operatività verso il beneficiario non integra di per sé un indice univoco di frode, né l’entità dell’operazione presenta profili di anomalia rispetto all’ordinaria operatività del rapporto. L’art. 2 del Regolamento (UE) n. 2018/389 impone meccanismi di monitoraggio, ma secondo l’EBA Q&A 4090/2018 non è necessario che operino in tempo reale: è sufficiente un monitoraggio ex post. La resistente non aveva dunque l’obbligo di negare l’autorizzazione.

Il Collegio valorizza infine l’attivazione della banca per il richiamo del bonifico, tentato senza esito, e l’invio di due SMS alert al numero indicato nel ricorso. Ravvisato il concorso di colpa ai sensi dell’art. 1227 c.c., accoglie parzialmente il ricorso e pone le conseguenze dannose a carico di entrambe le parti in ragione delle rispettive responsabilità, liquidando in via equitativa euro 5.500,00.