Di Maurizio Tidona, Avvocato
___
Nelle frodi di social engineering, il cliente viene indotto, attraverso artifici psicologici veicolati via e-mail, SMS o telefonate, a comunicare le proprie credenziali di accesso ai sistemi di home banking oppure a compiere egli stesso l’operazione di pagamento.
Per molto tempo, la giurisprudenza ordinaria e gli orientamenti dell’ABF hanno offerto a questo fenomeno una risposta apparentemente lineare. Se il cliente aveva disposto personalmente l’operazione e ne aveva completato l’autenticazione, la vicenda si esauriva nella sua sfera. Il consenso poteva anche essere stato carpito con l’inganno, ma restava pur sempre un consenso operativo, idoneo a collocare fuori dal perimetro della tutela rafforzata prevista per le operazioni non autorizzate la perdita economica subita dal pagatore.
Questa lettura aveva una sua coerenza sistematica, perché la distinzione tra operazioni autorizzate e operazioni non autorizzate costituisce ancora oggi l’architrave del D.lgs. 27 gennaio 2010, n. 11.
L’ABF, in molteplici decisioni, ha ribadito, con conclusioni convergenti, che, quando il cliente esegue direttamente la disposizione di pagamento e inserisce i relativi fattori di autenticazione, non trova applicazione il regime del D.lgs. n. 11/2010 proprio delle operazioni non autorizzate. Lo confermano, tra le altre, ABF, decisione n. 6752/2022; ABF, decisione n. 4807/2024; ABF, decisione n. 8956/2024; ABF, decisione n. 12148/2024; ABF, decisione n. 1063/2025.
In questa prospettiva, il social hacking (frodi con manipolazione attiva della vittima), il vishing (frodi telefoniche) e lo smishing (frodi tramite SMS), quando inducano il cliente a operare personalmente, non trasformano l’operazione in una disposizione priva di consenso giuridicamente rilevante. Il cliente, in altri termini, ha disposto egli stesso il pagamento e ne ha completato il processo autorizzativo, benché il suo consenso sia stata carpito attraverso il raggiro.
La linea di evoluzione più interessante degli orientamenti dell’ABF non consiste nell’abbandono della distinzione tra operazioni autorizzate e operazioni non autorizzate.
Consiste, piuttosto, nell’aver progressivamente affiancato a quella distinzione un diverso criterio di giudizio, destinato a incidere sulla distribuzione del rischio. Ha assunto cioè rilievo la qualità dell’assetto organizzativo della banca, soprattutto quando la frode presenti caratteristiche tali da non poter essere agevolmente percepite o neutralizzate dal pagatore con l’ordinaria diligenza. In questi casi, la verifica si sposta anche sull’idoneità dei meccanismi di controllo predisposti dalla banca e sulla sua capacità di intercettare tempestivamente la sequenza fraudolenta.
È in questo passaggio che le frodi di social engineering cessano di essere lette solo come una vicenda di credulità privata e vengono ricondotte, sempre più spesso, anche alla responsabilità dell’infrastruttura bancaria. L’ABF non nega che il cliente possa concorrere in modo grave all’evento, soprattutto quando comunichi credenziali, segua link palesemente anomali o si affidi a messaggi recanti errori evidenti, domini sospetti o recapiti estranei all’intermediario. Lo affermano, tra le altre, ABF, decisione n. 11913/2022, ABF, decisione n. 9577/2022, ABF, decisione n. 1110/2023, ABF, decisione n. 8739/2024, ABF, decisione n. 4932/2024. Ma questa constatazione non esaurisce più il giudizio, perché anche la banca è chiamata a rispondere della propria organizzazione quando il contesto operativo presenti segnali che avrebbero dovuto attivare meccanismi di controllo, di verifica o di sospensione.
Il punto è particolarmente evidente proprio nei casi in cui l’operazione, pur formalmente autorizzata, si inscriva in una sequenza obiettivamente anomala. ABF, decisione n. 4807/2024, valorizza la possibile responsabilità dell’intermediario che abbia colpevolmente ignorato segnali evidenti di frode anche fuori dall’ambito tipico delle operazioni non autorizzate. ABF, decisione n. 12148/2024, afferma che gli indici di anomalia contenuti nel D.M. 30 aprile 2007, n. 112 sono espressione di un generale obbligo di monitoraggio delle operazioni, e ABF, decisione n. 8956/2024, estende questa logica anche oltre il perimetro delle carte di pagamento, sul presupposto dell’unicità della ratio di prevenzione del rischio fraudolento. ABF, decisione n. 8038/2024, individua come sintomi rilevanti i pagamenti ravvicinati verso un medesimo beneficiario, la riconducibilità alla banca del numero da cui il cliente è stato contattato e l’azzeramento del saldo del rapporto. Non si tratta di dettagli fattuali marginali. Si tratta, al contrario, dei punti in cui la frode diventa visibile non più al cliente soltanto, ma al sistema bancario.
Questa evoluzione produce un effetto di sistema. La responsabilità non viene più allocata attraverso una contrapposizione netta tra colpa del cliente ed esclusione della responsabilità della banca. Si fa strada, invece, una logica di responsabilità concorrente, nella quale l’errore del cliente non cancella automaticamente il difetto organizzativo dell’intermediario. La banca non è chiamata a neutralizzare ogni rischio. Le si chiede, tuttavia, di presidiare i rischi riconoscibili, di monitorare operazioni abnormi per importo, frequenza, beneficiario o geografia, di introdurre sistemi di blocco temporaneo quando l’operatività devia in modo significativo dalla storia del rapporto. Quando ciò non avviene, la frode non appare più come una semplice disfunzione del comportamento individuale del cliente, ma come il prodotto di una doppia vulnerabilità, umana da un lato, organizzativa dall’altro.
Il fondamento normativo di questa trasformazione non è estraneo al sistema originario dei servizi di pagamento. L’art. 5, comma 2, D.Lgs. n. 11/2010 stabilisce che, in mancanza del consenso del pagatore, l’operazione deve ritenersi non autorizzata. Gli artt. 9, 10, 11 e 12 del medesimo decreto costruiscono poi il regime di protezione dell’utente, imponendo alla banca, nei casi di operazioni non autorizzate, oneri di autenticazione, registrazione, contabilizzazione e rimborso che non possono essere superati con la mera prova della regolarità formale dell’operazione. La formula più netta resta quella del Collegio di coordinamento ABF, decisione n. 22745/2019, secondo cui la produzione documentale diretta a provare l’autenticazione e la formale regolarità dell’operazione contestata non soddisfa, di per sé, l’onere probatorio, essendo necessario indicare specifici elementi di fatto dai quali trarre la prova, anche presuntiva, della colpa grave dell’utente. Nella stessa linea si collocano ABF, Collegio di coordinamento, decisione n. 3947/2014, e le successive decisioni conformi. È il punto in cui il sistema mostra con maggiore chiarezza la propria opzione di fondo, vale a dire l’allocazione sulla banca del rischio d’impresa derivante dall’uso degli strumenti di pagamento.
Ma la parte più recente del problema non sta nel terreno, ormai relativamente consolidato, delle operazioni non autorizzate. Sta nel fatto che criteri nati per valutare la sicurezza del sistema vengono oggi impiegati per sindacare la condotta della banca anche quando il cliente abbia operato personalmente pur se sotto l’effetto del raggiro. In altre parole, ciò che si sta trasferendo non è soltanto una quota di responsabilità economica. Si sta trasferendo sulla banca una porzione sempre più ampia del dovere di prevenzione. La qualità dei presidi interni, la costruzione dei filtri antifrode, l’uso di alert tempestivi, la gestione degli indici di anomalia, il blocco cautelativo dello strumento o del conto beneficiario non sono più profili organizzativi neutri. Sono ormai fattori di responsabilità.
Sotto questo profilo, alcune decisioni dell’ABF sono particolarmente rivelatrici. ABF, decisione n. 26776/2019, e ABF, decisione n. 19334/2021, affermano che il blocco dello strumento di pagamento, in presenza di sospetto utilizzo fraudolento, costituisce comportamento conforme ai doveri dell’intermediario anche in chiave di buona fede. ABF, decisione n. 4623/2023, considera cautelativo e giustificato il blocco temporaneo in presenza di rischio di frode. ABF, decisione n. 9918/2024, valorizza il blocco del conto del beneficiario illegittimo quale misura necessaria a evitare il dissiparsi delle somme, configurando altrimenti un possibile concorso di colpa della banca del destinatario. Qui il baricentro si sposta in modo evidente. Non si discute più solo di chi abbia digitato il codice. Si discute di chi, tra gli attori del sistema, abbia lasciato che l’operazione scorresse nonostante i segnali di pericolo.
Un ruolo importante, in questo quadro, è svolto anche dagli strumenti di alert. Il Collegio di coordinamento ABF, decisione n. 24366 del 6 novembre 2019, ha affermato che tra i doveri di protezione dell’utente gravanti sull’intermediario rientra l’onere di fornire il servizio di SMS alert o assimilabili, dal quale la banca può essere esonerata solo dimostrando l’esplicito rifiuto del cliente. La mancata attivazione di tale servizio non determina sempre e comunque responsabilità, come mostrano ABF, decisione n. 11247/2024, ABF, decisione n. 21481/2020, ABF, decisione n. 9877/2021, specie quando l’operazione sia unica o quando le operazioni siano così ravvicinate da rendere inutile l’avviso. Resta, però, il dato sistemico. L’alert non è più considerato un servizio accessorio. È uno degli strumenti attraverso cui si misura la qualità della protezione predisposta dall’intermediario.
Il tema emerge con particolare forza nelle frodi più sofisticate. Sul versante dell’esclusione della colpa grave del cliente, rilevano le decisioni in materia di man in the middle e man in the browser, tra cui ABF, decisione n. 13729/2019, ABF, decisione n. 14593/2021, ABF, decisione n. 8788/2020, nonché il fondamentale ABF, Collegio di coordinamento, decisione n. 3498/2012. In questi casi l’ABF riconosce che, dinanzi a malware sofisticati e tecnicamente elusivi, il rischio residuo non può essere semplicemente scaricato sul pagatore. È un cambio di paradigma importante, perché rende esplicita una nuova regola di fondo sottesa all’intero sistema. Se l’asimmetria tecnica tra banca e cliente diventa strutturale, il diritto tende a riportare comunque sull’intermediario il peso delle vulnerabilità che il singolo non è realisticamente in grado di governare.
Anche le frodi da SIM swap confermano questa tendenza, pur con la cautela necessaria a evitare generalizzazioni. Ancora l’ABF – con le decisioni n. 9749/2022, n. 13295/2021, n. 16737/2021, n. 3648/2021 – qualifica tale tecnica come frode particolarmente insidiosa, idonea a escludere, in linea di principio, la responsabilità del pagatore. Ciò non esclude che la banca possa contestare, talvolta con successo, il concorso di colpa dell’utente quando l’acquisizione delle credenziali sia avvenuta mediante phishing o smishing riconoscibili, come emerge da ABF, decisione n. 6651/2021.
Il dato che interessa maggiormente non è l’esito della singola lite, ma la direzione del sistema. La banca non è più protetta, di per sé, dalla sola circostanza che l’autenticazione sia tecnicamente avvenuta. Le si chiede di dimostrare la qualità complessiva del presidio.
Questo mutamento viene ulteriormente consolidato dalla normativa europea più recente. Il Regolamento (UE) 2024/886 ha introdotto nell’ambito del Regolamento (UE) n. 260/2012 l’art. 5-quater relativo al servizio di Verification of Payee. Dal 9 ottobre 2025, la verifica della corrispondenza tra IBAN e nominativo del beneficiario nei bonifici ordinari e istantanei rafforza in modo evidente la prevenzione delle frodi da alterazione dell’IBAN o da sostituzione del destinatario. La rilevanza sistemica di questa innovazione è notevole. Essa conferma che il legislatore europeo non considera più sufficiente la mera esecuzione tecnicamente corretta dell’ordine impartito, ma pretende una crescente integrazione tra esecuzione del pagamento e verifica preventiva del rischio. La banca, in altri termini, non è più solo il soggetto che esegue. È il soggetto chiamato a predisporre assetti e controlli adeguati a prevenire, intercettare o contenere la frode prima che produca interamente i suoi effetti.
Non sarebbe corretto sostenere che nelle frodi di social engineering il rischio sia già passato, in via generale, dal cliente alla banca. Una simile affermazione sarebbe eccessiva e non coerente con la persistenza, nella giurisprudenza arbitrale, di numerose decisioni che continuano a ravvisare la colpa grave dell’utente in presenza di condotte grossolanamente imprudenti. Sarebbe però altrettanto inesatto continuare a descrivere queste controversie come se la banca fosse un soggetto sostanzialmente neutrale ogniqualvolta il cliente abbia premuto il tasto finale dell’operazione. Il punto vero è un altro. Nelle frodi di social engineering il rischio si sta progressivamente riallocando, non perché il sistema assolva il pagatore tratto in inganno, ma perché pretende dall’intermediario un livello di intelligenza organizzativa, di vigilanza tecnologica e di reazione preventiva molto più elevato che in passato.
La frode non è più considerata soltanto un fatto esterno che interessa la banca e il cliente. La domanda decisiva che sempre più spesso viene posta è se la banca, davanti a un’operazione di pagamento rivelatasi frutto di inganno, abbia fatto quanto era ragionevolmente esigibile per intercettare o contenere l’illecito. Se così non è, la perdita non è più ricondotta soltanto alla sfera del cliente, ma diventa anche un problema di responsabilità dell’intermediario.
Approfondimento ulteriore riservato
Per le banche che desiderino approfondire ulteriormente questo tema, sono disponibili materiali riservati. Per informazioni, scrivere a pareristica@tidona.com.
Maurizio Tidona, “Frodi di social engineering nei pagamenti: operazioni autorizzate e responsabilità della banca”, Magistra Banca e Finanza, 9 marzo 2026, ISSN 2039-7410, https://www.tidona.com/il-rischio-delle-frodi-di-social-engineering-e-la-nuova-responsabilita-della-banca/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione è quella indicata sopra, con collegamento all’URL originale dell’articolo.