Con la decisione in commento, il Collegio di Roma affronta nuovamente il tema delle frodi nei servizi di pagamento, soffermandosi sul fenomeno del vishing caller ID, ossia l’utilizzo da parte dei truffatori di numeri telefonici apparentemente riconducibili all’intermediario. La pronuncia si segnala per avere chiarito che, pur in presenza di un’operazione materialmente autorizzata dal cliente, possono configurarsi profili di responsabilità concorrente della banca qualora quest’ultima non abbia adottato adeguati presidi di prevenzione e controllo delle frodi.
ABF Collegio di Roma, decisione n. 1711 del 25 febbraio 2026
La vicenda in esame
Con la decisione in commento, il Collegio di Roma dell’Arbitro Bancario Finanziario si è pronunciato su un caso di frode realizzata mediante la tecnica del vishing caller ID, affrontando il tema della responsabilità dell’intermediario quando l’operazione di pagamento sia stata materialmente eseguita dal cliente ma nell’ambito di un sofisticato raggiro informatico.
La vicenda trae origine da un SMS con il quale veniva segnalato al legale rappresentante di una società un presunto accesso anomalo al conto corrente. Dopo aver selezionato il collegamento contenuto nel messaggio e inserito alcuni dati identificativi, il cliente riceveva una telefonata proveniente da un numero apparentemente riconducibile alla banca. Seguendo le indicazioni del sedicente operatore, egli accedeva all’applicazione bancaria e disponeva un bonifico di euro 14.000, convinto di eseguire un’operazione finalizzata a bloccare una precedente disposizione fraudolenta. Solo il giorno successivo apprendeva di essere stato vittima di una truffa.
La decisione dell’ABF: esclusa la PSD2, ma non la responsabilità della banca
L’Arbitro ha innanzitutto escluso l’applicabilità della disciplina prevista dal d.lgs. n. 11/2010 in materia di operazioni di pagamento non autorizzate. Dalla documentazione acquisita risultava infatti che il bonifico fosse stato materialmente eseguito dal cliente, all’esito di una procedura di autenticazione forte caratterizzata dall’inserimento di credenziali, password e codici dispositivi. In presenza di un’operazione autorizzata dal titolare del rapporto, viene meno il presupposto per l’applicazione del regime di responsabilità oggettiva del prestatore di servizi di pagamento.
Ciò nondimeno, il Collegio ha precisato che l’inapplicabilità della PSD2 non esclude la possibilità di accertare una responsabilità dell’intermediario secondo le regole generali del diritto civile. In particolare, l’ABF richiama il consolidato orientamento secondo cui la banca è tenuta ad adottare tutte le misure necessarie per prevenire fenomeni fraudolenti e a monitorare diligentemente le operazioni effettuate tramite i propri sistemi.
Il vishing caller ID equiparato allo SMS spoofing
L’aspetto più interessante della decisione riguarda la qualificazione della frode.
Il Collegio accerta che il messaggio SMS iniziale non proveniva da un numero riconducibile all’intermediario. Diversamente, la successiva telefonata fraudolenta risultava effettuata tramite un recapito apparentemente associato alla banca. Tale circostanza ha consentito di qualificare l’episodio come ipotesi di vishing caller ID, ossia una tecnica che consente al truffatore di alterare il numero chiamante facendo apparire la comunicazione come proveniente dall’istituto di credito.
Secondo l’ABF, tale fenomeno presenta caratteristiche analoghe allo SMS spoofing già esaminato in precedenti decisioni. Ne consegue che l’intermediario può essere chiamato a rispondere per non aver predisposto adeguati presidi di sicurezza idonei a impedire che soggetti terzi utilizzino numeri apparentemente riconducibili alla banca per finalità fraudolente.
La decisione si colloca nel solco di un orientamento ormai consolidato, secondo il quale, anche in presenza di una condotta gravemente imprudente del cliente, il ricorso a strumenti di impersonificazione dell’intermediario è suscettibile di integrare un concorso di colpa della banca nella causazione del danno.
Considerazioni conclusive
La pronuncia conferma che non ogni frode informatica rientra nell’ambito applicativo della disciplina delle operazioni non autorizzate. Quando il cliente dispone personalmente il pagamento, anche se indotto in errore dal truffatore, la tutela non passa attraverso il meccanismo restitutorio previsto dal d.lgs. n. 11/2010, bensì attraverso le regole generali della responsabilità civile.
Al tempo stesso, l’ABF valorizza sempre più il ruolo degli intermediari nella prevenzione delle frodi digitali, estendendo al vishing caller ID i principi già elaborati in materia di spoofing. Nel caso concreto, tale impostazione ha condotto a riconoscere una responsabilità concorrente della banca e a liquidare in via equitativa il 50% del danno subito dalla cliente, condannando l’intermediario al pagamento di euro 7.000.
04.09.2026
