Spoofing bancario e indennizzi

Abstract. Le frodi realizzate mediante spoofing telefonico e SMS (vishing) hanno raggiunto un grado di sofisticazione tale da rendere l’inganno difficilmente riconoscibile anche dal cliente diligente. L’orientamento maturato nel 2025 presso i Collegi dell’Arbitro Bancario Finanziario, confermato da pronunce dei Tribunali civili, riconosce con crescente frequenza la buona fede del truffato e imputa all’intermediario una quota – talora integrale – di responsabilità, in ragione dell’inadeguatezza delle misure di sicurezza. Il presente contributo descrive la meccanica della frode, ne isola i tratti tipici e ricostruisce il quadro risarcitorio.

1. La meccanica della frode: che cos’è lo spoofing

Lo spoofing è la tecnica con cui l’aggressore falsifica un elemento identificativo di una comunicazione – il numero telefonico chiamante (“caller ID spoofing”), il mittente di un SMS o l’indirizzo e-mail – affinché la vittima percepisca come autentica e affidabile una comunicazione in realtà fraudolenta. Quando la manipolazione del numero chiamante si accompagna a un’interlocuzione vocale ingannevole, si parla di vishing (voice phishing).

Lo schema tipico si articola in fasi progressive, costruite per indurre nella vittima uno stato di urgenza e fiducia:

• Innesco. La vittima riceve un SMS – spesso inserito nel medesimo “thread” dei messaggi autentici precedentemente inviati dalla banca – che segnala un’operazione sospetta e invita a contattare un numero per il “servizio antifrode”.
• Contatto. Il cliente chiama (o viene chiamato): sul display compare un’utenza che, per effetto dello spoofing, appare riconducibile all’istituto. Un sedicente operatore conferma la falsa anomalia.
• Estorsione dei codici. Con tono rassicurante e creando pressione temporale, l’aggressore induce la vittima a comunicare credenziali di accesso, codici OTP o ad autorizzare una presunta operazione di “storno” o “messa in sicurezza” dei fondi.
• Disposizione fraudolenta. I dati così carpiti consentono l’esecuzione di bonifici o pagamenti verso conti nella disponibilità dei truffatori, talvolta immediatamente convertiti in valuta virtuale o trasferiti all’estero.

2. Le caratteristiche distintive dell’inganno

Rispetto al phishing “classico”, le frodi da spoofing presentano tratti che ne accrescono l’insidiosità e incidono direttamente sulla valutazione della condotta della vittima:

• Apparenza di autenticità. Il numero chiamante e il mittente degli SMS appaiono identici a quelli ufficiali della banca; i messaggi confluiscono nel thread genuino, eliminando il primo indizio di sospetto.
• Assenza di anomalie evidenti. Frequentemente non vi sono errori grammaticali, link incongrui o segnali manifesti di inattendibilità – elementi che la giurisprudenza considera invece sintomatici di una possibile colpa grave del cliente.
• Leva psicologica. L’inganno sfrutta l’urgenza emotiva e il timore della perdita patrimoniale, riducendo la capacità di valutazione critica.
• Sofisticazione tecnica. L’impiego di software di manipolazione dell’ID, l’inserimento nei canali ufficiali e, in alcuni casi, l’uso di strumenti di controllo remoto (RAT) rendono la frode difficilmente riconoscibile anche dal cliente attento.

3. Il quadro normativo di riferimento

La disciplina delle operazioni di pagamento non autorizzate è contenuta nel D.lgs. 27 gennaio 2010, n. 11, attuativo delle direttive PSD e PSD2 (Direttiva UE 2015/2366), letto in combinato con le norme generali del codice civile in tema di adempimento delle obbligazioni e di diligenza dell’intermediario (artt. 1218, 1176, 1710 e 1852 c.c.).

Il principio cardine è fissato dal sistema degli artt. 10 e 11 del decreto: a fronte del disconoscimento dell’operazione da parte dell’utente, è onere dell’intermediario provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di malfunzionamenti. Solo dopo l’assolvimento di tale onere assume rilievo la valutazione dell’eventuale dolo o colpa grave del cliente (art. 12, c. 3). In difetto, la banca è tenuta al rimborso integrale delle somme sottratte, senza applicazione della franchigia di legge.

L’adozione di un sistema di autenticazione forte (SCA) non è di per sé sufficiente: l’intermediario deve dimostrare non solo di possedere tale sistema, ma anche che esso abbia funzionato correttamente, non bastando a tal fine la mera produzione dei file di log.

4. L’orientamento dell’ABF e dei Tribunali civili

Nel corso del 2025 i Collegi dell’Arbitro Bancario Finanziario hanno consolidato un indirizzo che, nelle ipotesi di vishing caller ID e SMS spoofing, esclude di norma la colpa grave del cliente, salvo che emergano chiari elementi di inaffidabilità o anomalia. Ne deriva, a seconda della fattispecie, il rimborso integrale o una ripartizione del danno per concorso di colpa, valorizzando le criticità organizzative e di sicurezza dell’intermediario. L’indirizzo trova riscontro in pronunce dei Tribunali e delle Corti d’Appello e nel limite “esterno” tracciato dalla Cassazione, che esclude la responsabilità della banca in presenza di sistema di sicurezza idoneo e di condotta gravemente negligente del cliente.

Avvertenza. Le decisioni dell’ABF non hanno natura vincolante: l’intermediario non è giuridicamente obbligato a conformarvisi, sicché in caso di mancato adeguamento residua la via dell’azione giudiziaria ordinaria. Sulla natura delle fonti richiamate si veda la nota metodologica al § 5.

4.1. Sintesi delle principali decisioni

Organo e data	Tecnica / fattispecie	Esito e prescrizione risarcitoria
ABF Roma, 20.6.2025, n. 6024 (Studio Gloria-Berto)	SMS spoofing inserito nel thread autentico + vishing	Esclusa la colpa grave esclusiva del cliente; riconosciuto un rilevante contributo causale delle criticità organizzative della banca, idoneo a fondarne la corresponsabilità.
ABF Roma, 3.7.2025, n. 6526 (Studio Ripoldi-Gloria)	Caller ID spoofing; conto del beneficiario presso e-money institution estero	Corresponsabilità della banca; condanna in solido degli intermediari al pagamento, in via equitativa, della metà dell’importo sottratto; rigettata l’eccezione di incompetenza dell’istituto estero.
ABF Roma, 12.9.2025, n. 8198	SMS spoofing + accesso remoto al dispositivo; due bonifici istantanei	Operazioni tecnicamente autorizzate dall’utente ma riconosciuto rimborso di € 17.000 alla correntista, ex art. 1227 c.c., per inadeguatezza dei presidi di sicurezza contrattualmente dovuti.
ABF Torino, 6.11.2025, n. 9708 (Pres. Lucchini Guastalla, Rel. Isaia)	Spoofing + vishing; OTP comunicati al truffatore; operazione di € 3.980,00	Pur avendo l’intermediario provato il funzionamento della SCA, il Collegio ha ripartito il danno in misura paritetica (50% / 50%) tra intermediario e cliente.
ABF Roma, 11.12.2025, n. 10893 (Pres. Sirena, Rel. Maimeri)	ID caller spoofing + vishing caller ID	Truffa qualificata come potenzialmente sofisticata; insidiosità ricondotta a un’imperfezione del sistema di sicurezza dell’intermediario; riconosciuto il concorso di colpa e il parziale risarcimento.
ABF Milano, 2.10.2025, n. 8783	Operazioni disconosciute a seguito di furto; eccezione di SCA	Ribadito che grava sull’intermediario (art. 10 d.lgs. 11/2010) l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata.
Trib. Milano, 21.2.2025, n. 1514	Phishing, smishing e spoofing; accesso abusivo all’home banking	Responsabilità contrattuale dell’intermediario (artt. d.lgs. 11/2010 e 2050 c.c.); non integra colpa grave l’aver seguito istruzioni provenienti da contatti apparentemente genuini privi di anomalie evidenti.
Trib. Bari, 5.2.2025, n. 431	Click su link in chat del tutto simile a quella della banca	Esclusa la colpa grave del correntista che non aveva comunicato le credenziali ma seguito una procedura su un canale clonato.
Corte App. Venezia, 17.3.2025, n. 699	Operazioni non autorizzate; bollettini disconosciuti	Rimborso di oltre € 100.000; obbligo della banca di aggiornare i propri sistemi di sicurezza a fronte di frodi sempre più elaborate.
Trib. Milano, 18.5.2026 (caso BBVA; segnalato da Codici)	Spoofing sofisticato; difese della banca fondate sui soli codici OTP	Condanna della banca digitale alla restituzione di € 20.000; esclusa la colpa grave del consumatore; ritenuta insufficiente la mera prova dell’utilizzo dei codici OTP.
Cass. civ., sez. I, 13.3.2023, n. 7214 (ord.)	Phishing con condotta gravemente negligente dell’utente (caso Poste Italiane)	Esclusa la responsabilità dell’intermediario in presenza di sistema di sicurezza idoneo e di colpa grave del cliente: pronuncia che segna il limite “esterno” alla tutela del correntista.

Gli estremi delle pronunce ABF (Collegio, data, numero) sono ricavati dalla rassegna giurisprudenziale e dalla pubblicistica specializzata; le sentenze di merito e di legittimità sono indicate sulla base delle medesime fonti. Si rinvia alla nota metodologica al § 5.

5. Nota metodologica sulle fonti

In considerazione del rilievo professionale dei riferimenti, si rende opportuna una precisazione di metodo. Gli estremi delle decisioni dell’Arbitro Bancario Finanziario e delle pronunce giurisdizionali richiamati in questo contributo sono tratti da fonti secondarie – riviste giuridiche online, osservatori e commenti di studi legali – e non da una consultazione diretta dei bollettini ufficiali dell’ABF o delle banche dati giurisprudenziali. Ne consegue che:

• le decisioni dell’ABF non hanno natura di precedente vincolante e non costituiscono giurisprudenza in senso tecnico; esprimono l’orientamento dei Collegi territoriali e di coordinamento, soggetto a evoluzione;
• prima di ogni utilizzo in sede contenziosa o editoriale, gli estremi (Collegio, data, numero) e il contenuto dispositivo di ciascuna decisione vanno riscontrati sulle fonti primarie: il portale arbitrobancariofinanziario.it per l’ABF e le banche dati ufficiali per le sentenze di merito e di legittimità;
• alcune pronunce inizialmente reperite in un’unica fonte e prive di riscontro indipendente non sono state incluse nel quadro di sintesi, in coerenza con un criterio prudenziale di verificabilità;
• la natura non vincolante delle decisioni ABF comporta che l’intermediario non sia tenuto a conformarvisi: in caso di mancato adeguamento residua, per la vittima, la sola via dell’azione giudiziaria ordinaria.

Avvertenza. La valutazione resta in ogni caso ancorata alle circostanze del singolo caso; l’orientamento favorevole al correntista non opera in via automatica e incontra il limite della colpa grave del cliente, secondo la lettura datane dalla Cassazione.

6. Profili pratici e onere della prova

Dalla casistica esaminata emergono alcune indicazioni operative per la vittima della frode:

• Tempestività. La pronta segnalazione all’intermediario e la denuncia all’Autorità (Polizia Postale) sono presupposti per la tutela e incidono sulla valutazione della diligenza.
• Disconoscimento. Una volta disconosciuta l’operazione, l’onere probatorio si sposta sull’intermediario, che deve dimostrare l’autenticazione, la corretta registrazione e contabilizzazione e l’effettivo funzionamento della SCA.
• Colpa grave. Spetta alla banca allegare e provare elementi specifici della negligenza qualificata del cliente; la sola circostanza che la vittima abbia comunicato un codice, in un contesto di inganno particolarmente artificioso, non integra di per sé la colpa grave.
• Doppio binario. In caso di diniego è possibile valutare il ricorso all’ABF ovvero l’azione civile ordinaria, scegliendo in base a importo, tempi e profili probatori.

7. Conclusioni

La traiettoria della prassi decisionale dell’ABF e della giurisprudenza civile segnala un progressivo rafforzamento della posizione del correntista vittima di spoofing. Il baricentro si sposta dalla “colpa” della vittima all’adeguatezza delle misure di sicurezza dell’intermediario: laddove la frode risulti articolata, difficilmente riconoscibile e agevolata da carenze organizzative o di prova della SCA, il rischio della provvista tende a gravare sulla banca. Resta tuttavia ferma la necessità di una valutazione caso per caso, poiché la tutela non opera in via automatica e incontra il limite della colpa grave del cliente.

---

Il presente contributo ha finalità divulgativa e non costituisce parere legale. Per la valutazione di una fattispecie concreta è necessario l’esame della documentazione e il supporto di un professionista.