Vishing con caller ID spoofing (ABF Collegio di Roma n. 1645 del 23.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento online disconosciute dal titolare, l’applicazione del regime di responsabilità del d.lgs. n. 11/2010 è esclusa solo quando l’operazione sia stata eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione. Quando il concorso causale dell’utente in fase dispositiva o autorizzativa è parziale, la transazione non può per ciò solo ritenersi autorizzata. Accertata la conformità del sistema di autenticazione forte, resta da valutare il contesto in cui l’operazione è stata posta in essere. In presenza di truffa attuata con tecnica di vishing e caller ID, che integra lo spoofing, si configura un concorso di colpa tra le parti, dovendosi addossare all’intermediario il rischio d’impresa relativo alla modalità di comunicazione adottata.

Il Fatto

La rappresentante legale di una società, titolare di una carta di debito emessa dall’intermediario, riferisce che un sedicente operatore del servizio clienti aveva contattato il socio da un numero apparentemente riconducibile all’assistenza della carta. L’interlocutore segnalava dapprima un’operazione sospetta di 100,00 USD, poi una seconda da euro 1.900,00, invitando il cliente ad accedere all’app per confermare il disconoscimento.

Il cliente seguiva le istruzioni e subito dopo riceveva la notifica dell’addebito del medesimo importo. Contattava quindi il servizio clienti per bloccare carta e pagamento, che risultava in pre-autorizzazione; dopo tre giorni la banca autorizzava comunque l’addebito. La ricorrente chiede il rimborso di euro 1.900,00.

La motivazione del Collegio

L’intermediario eccepisce che la transazione è stata consapevolmente autorizzata tramite il messaggio push giunto sull’app installata sul dispositivo della ricorrente e autenticata con il fattore biometrico. I log documenterebbero l’assenza di clonazione, di sottrazione di credenziali e di enrollment su altri device. Da qui la deduzione della colpa grave della ricorrente, che avrebbe omesso di leggere il contenuto del messaggio autorizzativo.

Il Collegio richiama l’art. 12, comma 2-bis, del d.lgs. n. 11/2010, secondo cui il pagatore non sopporta perdite per operazioni online se il prestatore non esige l’autenticazione forte, salvo che abbia agito in modo fraudolento. Richiama inoltre l’orientamento condiviso dei Collegi territoriali: il regime delle operazioni disconosciute è escluso solo se l’operazione è stata eseguita per intero dal pagatore. Nel caso concreto il concorso causale dell’utente è stato ritenuto parziale, con la conseguenza che la transazione non può dirsi autorizzata.

Accertata la conformità del sistema di autenticazione e l’assenza di malfunzionamenti, il Collegio sposta l’analisi sulle circostanze fattuali. Risulta documentato il blocco della carta alle ore 17:15, pochi minuti dopo l’operazione delle 17:04. La difesa dell’intermediario sulla pre-autorizzazione — qualificata come indicazione meramente contabile e irrilevante rispetto all’irrevocabilità della transazione autenticata — non viene accolta come dirimente.

Assume invece rilievo la tipologia di truffa: una vishing call con caller ID, che integra la fattispecie dello spoofing. In presenza di tale insidiosa modalità fraudolenta, il Collegio ritiene che all’intermediario debba essere addossato il rischio d’impresa relativo alla modalità di comunicazione adottata, propedeutica alle disposizioni poi avvenute. Su questa base riconosce un concorso di colpa e liquida in via equitativa il rimborso di euro 1.000,00, oltre al contributo di euro 200,00 alla Banca d’Italia e al rimborso di euro 20,00 alla ricorrente.