Con decisione n. 1792 del 26 febbraio 2026, il Collegio di Roma dell’Arbitro Bancario Finanziario (Pres. Sirena – Rel. Bonaccorsi di Patti) si è pronunciato in tema di operazioni di pagamento non autorizzate, conseguenti a una frode realizzata mediante la tecnica del c.d. SMS spoofing, accertando un concorso di colpa fra il cliente e l’intermediario e quantificando in via equitativa il rimborso spettante al ricorrente in misura pari alla metà della somma sottratta.
Secondo l’orientamento condiviso fra i Collegi dell’ABF, “nelle fattispecie di spoofing non è generalmente ravvisabile la colpa grave del ricorrente“ salvo che “si rinvengano […] indici di inattendibilità o anomalia del messaggio; in tale caso, potrà essere ravvisato un concorso di colpa tra le parti in relazione, da un lato, alla negligenza grave dell’utente che agevola il compimento della truffa, similmente a quanto avviene negli episodi di phishing e, dall’altro lato, alle criticità organizzative del servizio di pagamento offerto dall’intermediario“.
Nel caso di specie, il ricorrente aveva ricevuto una serie di SMS apparentemente provenienti dalla propria banca e contenenti un link volto a evitare il blocco delle proprie carte. Dopo aver cliccato sul link, il cliente era stato reindirizzato a una pagina graficamente identica a quella della banca, nella quale aveva inserito le proprie credenziali di accesso.
A seguito di un messaggio che segnalava un errore relativo ai codici di sicurezza, il ricorrente era stato contattato telefonicamente da un numero di cellulare non riconducibile alla banca. Nel corso della chiamata, il cliente aveva fornito i codici di accesso dell’app e, su indicazione dell’operatore, aveva provveduto a disinstallarla. Resosi conto della frode, il ricorrente aveva contattato il servizio clienti, apprendendo che dal suo conto corrente erano stati eseguiti due bonifici istantanei di euro 5.000,00 ciascuno. Una terza operazione di euro 8.000,00 era stata prontamente bloccata dalla banca su segnalazione del cliente.
L’intermediario eccepiva la grave imprudenza del ricorrente, il quale aveva effettuato l’accesso al link contenuto nell’SMS, aveva inserito le proprie credenziali nell’interfaccia e aveva fornito i codici di accesso dell’app, nonostante fosse stato contattato da un numero di cellulare non riferibile né a un’utenza italiana né alla banca. L’intermediario sosteneva altresì che la procedura di autenticazione utilizzata fosse conforme ai parametri di autenticazione forte richiesti dalla PSD2 e dal d.lgs. 11/2010, come modificato dal d.lgs. 218/2017.
All’esito dell’istruttoria, il Collegio ha ritenuto che il cliente fosse stato vittima di una fattispecie riconducibile allo SMS spoofing. Tuttavia, l’Arbitro ha rilevato un indice di anomalia idoneo a fondare il concorso di colpa del ricorrente rappresentato dalla non riconducibilità alla banca del numero di telefono dal quale il cliente era stato contattato e a cui aveva fornito le informazioni che hanno reso possibile la frode.
Per tali ragioni, il Collegio ha accolto parzialmente il ricorso e ha disposto il rimborso di una somma, determinata in via equitativa, pari a euro 5.000,00 a favore del cliente.
