ABF Collegio di Roma, decisione n. 1711 del 25 febbraio 2026
La decisione del Collegio di Roma dell’Arbitro Bancario Finanziario affronta una questione sempre più frequente nei rapporti bancari digitali: la frode nella quale il cliente esegue personalmente il pagamento, ma lo fa perché indotto in errore da soggetti che si presentano come operatori dell’intermediario.
Il punto centrale non riguarda soltanto la validità tecnica dell’ordine di bonifico, bensì il livello di protezione che la banca deve assicurare contro tecniche di impersonificazione come il vishing caller ID, cioè la manipolazione del numero chiamante, così da far apparire la telefonata come proveniente dall’istituto di credito.
Il fatto esaminato dall’Arbitro Bancario Finanziario
La vicenda nasce da un messaggio SMS inviato al legale rappresentante di una società, con il quale veniva segnalato un presunto accesso anomalo al conto corrente. Il destinatario selezionava il collegamento indicato nel messaggio e inseriva alcuni dati identificativi.
Successivamente riceveva una telefonata da un numero che appariva riconducibile alla banca. L’interlocutore, qualificatosi come operatore dell’intermediario, lo induceva ad accedere all’applicazione bancaria e a disporre un bonifico di euro 14.000. Il cliente riteneva di compiere un’operazione di sicurezza, finalizzata a bloccare una precedente disposizione fraudolenta.
Soltanto il giorno seguente emergeva che l’intera sequenza era parte di un raggiro. La società chiedeva quindi il rimborso della somma, sostenendo la responsabilità dell’intermediario per l’insufficienza dei presidi antifrode.
Operazione autorizzata e limiti della disciplina PSD2
Il Collegio ha anzitutto distinto l’ipotesi dell’operazione non autorizzata da quella dell’operazione eseguita dal cliente sotto l’effetto dell’inganno.
Dalla documentazione risultava che il bonifico fosse stato materialmente disposto dal titolare del rapporto tramite una procedura di autenticazione forte, con inserimento di credenziali, password e codici dispositivi. Per tale ragione l’ABF ha escluso l’applicazione del regime previsto dal d.lgs. n. 11/2010 per le operazioni di pagamento non autorizzate.
Secondo il Collegio, quando l’ordine di pagamento proviene dal cliente e supera correttamente i controlli di autenticazione, manca il presupposto per applicare il meccanismo restitutorio proprio della disciplina PSD2. L’operazione, sul piano formale, risulta autorizzata.
La responsabilità civile resta valutabile
L’esclusione della disciplina speciale non chiude però l’accertamento. L’ABF ha precisato che la condotta della banca può essere scrutinata secondo le regole generali della responsabilità civile e della diligenza professionale dell’intermediario.
In questa prospettiva rileva non solo il corretto funzionamento dell’autenticazione forte, ma anche la capacità della banca di prevenire e intercettare modalità fraudolente note, soprattutto quando esse sfruttano segni esteriori idonei a generare affidamento nel cliente.
Il vishing caller ID come forma di impersonificazione della banca
L’elemento decisivo della decisione riguarda la natura della frode. Il Collegio ha osservato che l’SMS iniziale non proveniva da un numero riferibile all’intermediario. Diversa valutazione è stata invece compiuta per la telefonata successiva, risultata provenire da un recapito apparentemente associato alla banca.
Questa circostanza ha consentito di qualificare la fattispecie come vishing caller ID. Il truffatore, alterando l’identificativo della chiamata, rende credibile il contatto e rafforza l’apparenza di una comunicazione ufficiale dell’istituto.
Il richiamo allo SMS spoofing
L’ABF ha accostato il vishing caller ID allo SMS spoofing, fenomeno già esaminato in precedenti pronunce. In entrambi i casi il meccanismo fraudolento si fonda sull’apparente provenienza della comunicazione dall’intermediario.
La rilevanza giuridica di tale apparenza è evidente: il cliente non viene ingannato soltanto dal contenuto del messaggio o della telefonata, ma anche dall’utilizzo di un canale che sembra appartenere alla banca. Proprio questo profilo può far emergere un deficit organizzativo o di controllo imputabile all’intermediario.
Il concorso di colpa nella causazione del danno
La decisione si inserisce nell’orientamento secondo cui la grave imprudenza del cliente non esclude automaticamente ogni responsabilità della banca, quando il raggiro si realizzi attraverso strumenti di impersonificazione dell’intermediario.
Nel caso esaminato, il cliente aveva eseguito personalmente il bonifico e aveva seguito le indicazioni del falso operatore. Tale condotta è stata certamente valutata ai fini della ripartizione del danno. Tuttavia il Collegio ha ritenuto rilevante anche la mancata adozione, da parte della banca, di presidi adeguati a contrastare l’utilizzo fraudolento di numeri apparentemente riconducibili all’istituto.
Il risultato è stato il riconoscimento di una responsabilità concorrente: l’intermediario è stato condannato a corrispondere euro 7.000, pari al 50% del danno subito dalla cliente, liquidato in via equitativa rispetto al bonifico di euro 14.000.
Indicazioni operative per intermediari e clienti
La pronuncia chiarisce che la presenza di autenticazione forte e l’esecuzione materiale dell’operazione da parte del cliente non sono sempre sufficienti a escludere ogni profilo di responsabilità della banca.
Per gli intermediari assume rilievo la predisposizione di sistemi di prevenzione e monitoraggio calibrati sulle forme attuali di frode digitale, comprese quelle basate sull’alterazione del numero chiamante. Per i clienti resta essenziale verificare ogni richiesta ricevuta tramite canali autonomi e non disporre pagamenti su istruzione telefonica, anche quando il numero visualizzato sembri appartenere alla banca.
La decisione n. 1711 del 25 febbraio 2026 conferma così che, fuori dal perimetro del d.lgs. n. 11/2010, la tutela può comunque passare attraverso l’accertamento della responsabilità civile dell’intermediario, quando la frode sia resa credibile dall’apparente identità bancaria del contatto.