Il Collegio di Roma dell’Arbitro Bancario Finanziario, con decisione n. 1711 del 25 febbraio 2026 (Pres. P. Sirena, Rel. M. Onza), si è pronunciato sui profili di responsabilità della banca rispetto al fenomeno di vishing caller ID nella prestazione di servizi di pagamento.
Nel caso in esame, un’impresa lamentava che il suo legale rappresentante aveva ricevuto un SMS sul proprio cellulare in cui gli si segnalava un accesso al conto corrente da un nuovo apparecchio, corredato dall’invito a selezionare un collegamento ipertestuale.
Il legale rappresentante avrebbe cliccato sul predetto link, inserendo i propri dati identificativi (inclusa l’utenza telefonica) e, subito dopo, avrebbe ricevuto una telefonata proveniente da un numero riferibile alla banca. Durante la telefonata, peraltro, il legale rappresentante aveva ricevuto un ulteriore SMS che segnalava l’esecuzione di un bonifico, che, tuttavia, egli non aveva autorizzato.
Nel corso della conversazione, il sedicente operatore dell’ente aveva invitato il legale rappresentante dell’impresa ad accedere all’applicazione della banca e lo aveva guidato nell’esecuzione di un’operazione di rientro del bonifico non riconosciuto. Due giorni dopo, il legale rappresentante dell’impresa, recatosi presso la filiale della banca, apprendeva di essere stato vittima di una frode e di non aver revocato il bonifico ma di averlo effettivamente disposto.
Conseguentemente, l’impresa demandava il rimborso della somma alla banca.
L’Arbitro, chiamato a decidere della controversia, ha rilevato come sia da escludere l’applicabilità del regime di responsabilità oggettiva del prestatore di servizi di pagamento ai sensi del d.lgs. n. 11/2010, trattandosi di un’operazione compiuta integralmente dal danneggiato.
Nondimeno, prosegue il Collegio romano, «ciò non consente di escludere l’accertamento di potenziali profili di responsabilità della banca a titolo di concorso causale, secondo le norme di diritto comune». A tal fine, viene ricordato come indici di tale concorso possano essere: (i) la mancata disponibilità (anche temporanea) del numero verde della banca, che impedisca all’utente di accertare in via preliminare la genuinità delle indicazioni fornite dal frodatore; (ii) la mancata identificazione del tentativo di frode in corso da parte del dipendente della banca, cui il pagatore si sia rivolto esponendo le richieste del frodatore; (iii) il mancato rilievo di indici di frode nel caso in cui l’utente sia stato indotto dal frodatore a disporre dei pagamenti nella convinzione di effettuare degli accrediti in conto e il blocco delle transazioni lo avrebbe reso consapevole dell’effettiva natura delle operazioni poste in essere.
A ciò si aggiunga il principio consolidato per il quale «gli indici di frode forniti dal d.m. n. 112/2007 costituiscano soltanto principi espressivi di un generale dovere del prestatore di servizi di pagamento di monitorare diligentemente le operazioni compiute suo tramite». Tali indici non costituiscono però un elenco tassativo, «potendo ben essere espansi valorizzando operatività anomale rispetto alle normali movimentazioni del cliente, ad esempio».
Pertanto, secondo l’Arbitro, «la prova dell’esecuzione di una chiamata da un recapito apparentemente riconducibile all’intermediario (vishing caller ID) è equiparabile all’SMS spoofing, con la conseguenza che viene ravvisato un concorso colposo delle parti, imputando all’intermediario la responsabilità per non avere adottato tutti i presidi di sicurezza necessari a impedire che il truffatore potesse chiamare la cliente con un numero riferibile all’intermediario medesimo».
Accertata la responsabilità concorrente della banca, il Collegio ha condannato la medesima a corrispondere alla ricorrente metà dell’importo del bonifico controverso.
