Responsabilità dell’intermediario per operazioni di pagamento disconosciute a seguito di spoofing e vishing

La decisione in commento affronta il tema della responsabilità dell’intermediario per operazioni di pagamento disconosciute, eseguite a seguito di una frode articolata nelle forme dello spoofing telefonico (SMS provenienti da numerazione apparentemente riconducibile alla banca) e del vishing (telefonata da parte di un soggetto qualificatosi come operatore antifrode). Il Collegio di Roma, conformemente al proprio più recente orientamento, ribadisce che, nelle fattispecie di spoofing, non è generalmente ravvisabile la colpa grave del cliente, salvo indici concreti di inattendibilità o anomalia del messaggio. Nondimeno, il profilo decisivo della pronunzia risiede sul versante probatorio: l’intermediario, pur avendo adempiuto all’ordine istruttorio del Collegio producendo la documentazione relativa all’enrollment, non ha fornito prova esaustiva dei fattori di autenticazione forte impiegati, omettendo in particolare di comprovare il fattore di conoscenza utilizzato per l’enrollment sul dispositivo dei frodatori. Il Collegio ribadisce il principio, ormai consolidato nella giurisprudenza ABF, secondo cui la prova dell’autenticazione costituisce un prius logico rispetto alla prova della colpa grave dell’utente: la mancanza anche solo parziale della prima è risolutiva e dirimente, rendendo superflua ogni indagine sulla condotta del cliente. L’intermediario è condannato alla restituzione integrale dell’importo sottratto, pari a euro 6.393,17, oltre interessi legali.

1. Il caso.

La fattispecie sottoposta all’esame del Collegio di Roma dell’Arbitro Bancario Finanziario presenta un pattern ormai ricorrente nella casistica delle frodi informatiche bancarie: l’uso combinato dello spoofing – ossia la falsificazione dell’identità del mittente di comunicazioni elettroniche – e del vishing – la sollecitazione telefonica fraudolenta – quale vettore di sottrazione di fondi dal conto corrente del cliente.

La cliente, titolare di conto corrente presso l’intermediario, riceveva sul proprio telefono cellulare una serie di SMS dal numero ufficiale della banca – inseriti pertanto nel medesimo thread conversazionale dei messaggi autentici – che la informavano dell’avvenuta autorizzazione di pagamenti mai disposti. Seguiva un ulteriore SMS, sempre dalla medesima numerazione, che la invitava a contattare un sedicente Ufficio Antifrode. L’interlocutore telefonico, qualificandosi come operatore della banca, confermava la sospettosità delle operazioni, consolidando così nell’utente la percezione di trovarsi in contatto effettivo con il proprio istituto di credito. All’esito di tale sequenza, venivano disposti dal conto della ricorrente, tra il 4 e il 6 giugno 2024, cinque operazioni non autorizzate (tre pagamenti tramite carta e due bonifici online) per complessivi euro 6.393,17.

Merita segnalare un aspetto fattuale significativo: la ricorrente, impossibilitata per ragioni di salute a recarsi in filiale, tentava insistentemente di contattare telefonicamente la propria agenzia sin dalle prime ore di apertura del 5 giugno 2024, senza ottenere risposta. Solo il 10 giugno, contattando il numero verde, apprendeva che le operazioni fraudolente comprendevano anche tre addebiti Bancomat inizialmente rimborsati e successivamente stornati unilateralmente dalla banca. Circostanza, quest’ultima, mai comunicata alla cliente.

2. Il quadro normativo: D.Lgs. 11/2010 e la disciplina PSD2.

La decisione si colloca nell’alveo del D.Lgs. 11/2010, come novellato dal D.Lgs. 218/2017 in recepimento della Direttiva (UE) 2015/2366 (c.d. PSD2). Il regime normativo vigente pone in capo al prestatore di servizi di pagamento (PSP) un rigoroso onere probatorio in materia di operazioni disconosciute dall’utente.

L’art. 10 del D.Lgs. 11/2010 stabilisce che, qualora l’utente neghi di aver autorizzato un’operazione di pagamento, è onere del prestatore di servizi di pagamento «provare che l’operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata». Il comma 2 del medesimo articolo precisa che l’utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento «non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all’articolo 7».

L’art. 12, comma 1, dispone poi che l’utente non sopporta alcuna perdita derivante da operazioni non autorizzate, salvo che «abbia agito in modo fraudolento» ovvero «non abbia adempiuto, con dolo o colpa grave, agli obblighi di cui all’articolo 7». L’architettura normativa è chiara: la prova dell’autenticazione forte è un prius logico e giuridico; solo ove essa sia raggiunta, il PSP può tentare di dimostrare la colpa grave dell’utente.

3. Il nodo dell’enrollment e il difetto probatorio dell’intermediario.

Il punto nevralgico della decisione in commento riguarda la fase di enrollment – ossia la procedura di attivazione dell’applicazione bancaria su un nuovo dispositivo – che, nel caso di specie, è stata eseguita dai frodatori su un terminale nella loro disponibilità.

Il Collegio, con provvedimento istruttorio adottato nella seduta del 13 marzo 2026, ordinava all’intermediario la produzione di «copia della documentazione comprovante l’enrollment del dispositivo e la descrizione del relativo procedimento, compresi i fattori di autenticazione forte utilizzati». L’intermediario adempiva, ma la documentazione prodotta risultava lacunosa su un punto essenziale: mentre emergeva l’impiego di un fattore di possesso (OTP generato dal token fisico della cliente), il fattore di conoscenza asseritamente utilizzato per il login nell’home banking veniva soltanto «presumibilmente» indicato, senza alcuna evidenza documentale a supporto.

Il Collegio qualifica tale carenza come un difetto di prova dell’autenticazione forte. E il ragionamento è tanto lineare quanto rigoroso: se il PSP non è in grado di dimostrare compiutamente che l’enrollment è avvenuto con impiego effettivo della strong customer authentication (SCA) – ossia con la combinazione di almeno due fattori tra conoscenza, possesso e inerenza, come richiesto dall’art. 4, par. 1, n. 30, della PSD2 – viene meno il presupposto stesso per valutare la condotta dell’utente.

4. Il principio del prius logico nella giurisprudenza ABF.

La decisione si inserisce in un filone ormai consolidato e univoco della giurisprudenza dell’ABF, secondo cui la prova di autenticazione rappresenta un prius logico rispetto alla prova della colpa grave dell’utente. Il Collegio richiama espressamente l’unanimità dei Collegi territoriali su tale principio: «la mancanza anche parziale della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa ascrivibili al cliente».

Il meccanismo opera come un filtro pregiudiziale: se l’intermediario non supera la prima soglia probatoria – la dimostrazione piena e documentata che le operazioni contestate sono state eseguite con autenticazione forte conforme alla disciplina PSD2 – il ricorso deve essere accolto integralmente, senza necessità di indagare la diligenza o la negligenza del cliente. In altri termini, il comportamento dell’utente è irrilevante laddove il PSP non abbia assolto il proprio onere primario.

Tale impostazione è coerente con la ratio della PSD2, che ha inteso rafforzare la tutela del consumatore nei servizi di pagamento elettronici, allocando in capo all’intermediario – quale soggetto professionalmente organizzato e dotato delle necessarie competenze tecniche – il rischio della sicurezza dei sistemi e la prova del loro corretto funzionamento.

5. Spoofing e colpa grave: l’orientamento del Collegio di Roma.

Un ulteriore profilo di interesse della decisione riguarda l’incidentale richiamo all’orientamento del Collegio di Roma in materia di spoofing. La pronunzia afferma che «nelle fattispecie di spoofing non è generalmente ravvisabile la colpa grave del ricorrente, a meno che non si rinvengano indici di inattendibilità o anomalia del messaggio».

Si tratta di un passaggio rilevante, ancorché obiter, perché consolida una linea interpretativa che tiene conto dell’evoluzione tecnologica delle tecniche di frode: quando il messaggio fraudolento si inserisce nel medesimo flusso conversazionale della banca, proviene dalla medesima numerazione e replica fedelmente il tenore delle comunicazioni autentiche, non è ragionevole pretendere dal cliente medio un discernimento che presupporrebbe conoscenze tecniche di cui ordinariamente non dispone.

Nel caso di specie, peraltro, tale profilo non viene approfondito, essendo la decisione interamente assorbita dal difetto probatorio dell’intermediario sulla SCA. Il Collegio, con economia di giudizio, non ha necessità di pronunciarsi sulla sussistenza o insussistenza della colpa grave della cliente, proprio in applicazione del principio del prius logico sopra illustrato.

6. Profili di criticità emersi nella gestione dell’intermediario.

La decisione consente di evidenziare almeno due aspetti critici ulteriori nella condotta dell’intermediario, che, pur non essendo oggetto di specifico pronunciamento, meritano attenzione sotto il profilo della diligenza professionale ex art. 1176, comma 2, c.c.

In primo luogo, lo storno unilaterale delle tre operazioni Bancomat originariamente rimborsate – eseguito senza alcuna preventiva comunicazione alla cliente – solleva interrogativi sulla trasparenza e correttezza dell’intermediario nella gestione della fase post-frode.

In secondo luogo, l’irraggiungibilità telefonica della filiale, protrattasi per l’intera giornata del 5 giugno 2024, ha impedito alla ricorrente di segnalare tempestivamente l’evento e di attivare il blocco delle operazioni, aggravando le conseguenze patrimoniali della frode. Tale circostanza, sebbene non valorizzata dal Collegio ai fini della decisione, rappresenta un indicatore significativo di inadeguatezza organizzativa nella gestione dei canali di comunicazione con la clientela.

7. Considerazioni conclusive.

La decisione del Collegio di Roma si segnala per la chiarezza dell’iter argomentativo e per il consolidamento di un principio che costituisce un presidio essenziale di tutela del cliente nei servizi di pagamento: l’onere della prova dell’autenticazione forte è indefettibile e il suo mancato assolvimento, anche parziale, preclude ogni indagine sulla colpa dell’utente.

Sul piano pratico, la pronunzia ribadisce che la documentazione relativa all’enrollment e ai fattori di SCA impiegati deve essere completa, puntuale e circostanziata. Affermazioni generiche o meramente «presuntive» circa l’impiego dei fattori di autenticazione non soddisfano l’onere probatorio imposto dalla disciplina PSD2.

La decisione conferma altresì la sensibilità dell’ABF verso le nuove tipologie di frode che sfruttano vulnerabilità non dei sistemi informatici in senso stretto, ma della fiducia del cliente nei canali di comunicazione istituzionali della propria banca – terreno su cui la prevenzione e l’informativa dell’intermediario assumono un ruolo decisivo.