Truffa con SMS e telefonata della banca (spoofing e vishing): l’ABF condanna l’intermediario al rimborso integrale
Hai ricevuto un SMS dalla tua banca che ti segnalava operazioni sospette, poi una telefonata da un sedicente operatore antifrode, e ti sei ritrovato con il conto svuotato? Non sei solo. Si chiama spoofing (falsificazione del mittente SMS) combinato con vishing (telefonata truffaldina), ed è oggi la forma più insidiosa di frode bancaria. Ma la legge è dalla tua parte — e la banca, nella maggior parte dei casi, deve rimborsarti.
Con una decisione recentissima (Collegio di Roma, decisione n. 0008175/26 del 9 settembre 2026), l’Arbitro Bancario Finanziario ha condannato l’intermediario alla restituzione integrale di euro 6.393,17 oltre interessi legali, ribadendo un principio ormai consolidato e di enorme importanza pratica per tutti i clienti vittime di phishing.
Il caso: SMS dal numero ufficiale della banca e telefonata dell’«Ufficio Antifrode»
Una cliente riceveva sul proprio cellulare una serie di SMS dal numero ufficiale della banca — inseriti nello stesso filo di messaggi autentici — che la avvertivano di pagamenti mai autorizzati. Subito dopo, un secondo SMS la invitava a contattare l’«Ufficio Antifrode». Seguiva una telefonata da parte di un soggetto che si qualificava come operatore della banca, il quale confermava l’anomalia e la induceva a credere di trovarsi in contatto con il proprio istituto. All’esito della truffa, venivano eseguiti dal conto della vittima cinque operazioni fraudolente — tre pagamenti con carta e due bonifici — per complessivi euro 6.393,17.
Il principio di diritto: la prova dell’autenticazione forte viene prima di tutto
Il Collegio di Roma ha applicato il D.Lgs. 11/2010, come modificato dal D.Lgs. 218/2017 in recepimento della Direttiva PSD2. La norma è netta: quando il cliente disconosce un’operazione, è la banca a dover dimostrare che l’operazione è stata eseguita con autenticazione forte (SCA — strong customer authentication), ossia con almeno due fattori tra conoscenza (password, PIN), possesso (smartphone registrato, token) e inerenza (impronta digitale, riconoscimento facciale).
Nel caso esaminato, i truffatori erano riusciti ad attivare l’app bancaria della vittima su un proprio dispositivo (cosiddetto enrollment). L’ABF ha chiesto alla banca di produrre la documentazione completa sull’enrollment e sui fattori di autenticazione utilizzati. La banca ha risposto, ma in modo incompleto: ha documentato un solo fattore (un codice OTP), senza provare quale fosse il secondo fattore impiegato.
La conclusione del Collegio è stata chiara e unanime: se la banca non dimostra di aver applicato correttamente l’autenticazione forte, il ricorso del cliente deve essere accolto integralmente, senza neppure valutare se il cliente sia stato imprudente. La prova dell’autenticazione è un prius logico — viene prima, e se manca, tutto il resto è irrilevante.
Spoofing: perché non è colpa del cliente
Il Collegio di Roma ha ribadito il proprio orientamento: nelle truffe con spoofing — dove il messaggio fraudolento si inserisce nel flusso dei messaggi autentici della banca e proviene dallo stesso numero — non si può attribuire al cliente una «colpa grave». L’inganno è troppo sofisticato per essere riconoscibile dal correntista medio.
Cosa fare se sei vittima di phishing o spoofing bancario
Se ti è successo qualcosa di simile, il percorso è chiaro. Devi presentare immediatamente reclamo scritto alla banca chiedendo il rimborso integrale. Se la banca respinge il reclamo o non risponde entro 15 giorni lavorativi (60 per i servizi di pagamento), puoi presentare ricorso all’ABF — oppure agire direttamente in sede giudiziaria con l’assistenza di un avvocato specializzato in diritto bancario.
Lo Studio Legale Contessa, con sede a Bologna e operativo nelle province di Bologna, Modena e Ferrara, assiste quotidianamente clienti vittime di frodi bancarie — phishing, spoofing, vishing, SIM swap — sia in sede stragiudiziale davanti all’ABF, sia nelle aule di Tribunale. Se hai subito una truffa bancaria e la tua banca rifiuta il rimborso, contattaci per una valutazione del caso.
Avv. Mario Pio Contessa — Studio Legale Contessa, Bologna
Strada Maggiore 54, Bologna — Tel. 051.0216866
www.studiolegalecontessa.com
Lo Studio Legale Contessa assiste clienti privati, imprese e professionisti in materia di diritto bancario, phishing, spoofing, vishing e operazioni disconosciute a Bologna, Modena, Ferrara, Casalecchio di Reno, San Lazzaro di Savena, Imola, Medicina, Budrio, Castel San Pietro Terme, Carpi, Sassuolo, Formigine, Vignola, Cento, Comacchio, Argenta e in tutto il territorio dell’Emilia-Romagna.
