Colpa grave dell’utente per smishing esclude il rimborso (ABF Collegio di Roma n. 4036 del 07.05.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento assolve all’onere probatorio previsto dall’art. 10, comma 1, del d.lgs. n. 11/2010 quando dimostra, tramite log informatici, che l’operazione è stata autenticata mediante autenticazione forte (SCA) a due fattori e correttamente registrata, senza malfunzionamenti tecnici. L’utilizzo di uno strumento di pagamento registrato non prova di per sé l’autorizzazione dell’operazione né il dolo o la colpa grave dell’utente, ai sensi dell’art. 10, comma 2, del d.lgs. n. 11/2010. Integra tuttavia colpa grave, e quindi esclude il diritto al rimborso ai sensi dell’art. 12, comma 3, del d.lgs. n. 11/2010, la condotta dell’utente che, su indicazione di un sedicente operatore antifrode, autorizzi l’accesso da remoto al proprio dispositivo e disponga pagamenti verso terzi sconosciuti in un contesto anomalo. L’omessa produzione del messaggio “esca” costituisce ulteriore indice di colpa grave, perché impedisce di valutare l’affidamento dell’utente e gli elementi che avrebbero dovuto insospettirlo.

Il Fatto

La ricorrente ha adito l’Arbitro chiedendo la condanna dell’intermediario al pagamento di euro 1.490,00, importo di un bonifico on line disconosciuto. Espone di essere stata vittima di una truffa l’8 ottobre 2025: ha ricevuto un SMS da un numero di cellulare non riconducibile all’intermediario, che segnalava operazioni in corso su un conto presso altro istituto e la invitava a contattare un numero di telefono.

Seguendo le indicazioni, la ricorrente ha chiamato il numero ed è stata istruita da un sedicente operatore del servizio antifrode, che le ha prospettato la necessità di autorizzare alcune operazioni per sventare una truffa in atto. Accedendo alla propria area riservata, ha disposto un bonifico istantaneo di euro 1.490,00 in favore di un terzo, una ricarica sulla propria carta prepagata e poi un ulteriore bonifico a favore di un terzo. Avvedutasi dell’inganno, ha sporto denuncia e chiesto il rimborso. L’intermediario ha eccepito la colpa grave della cliente, richiamando la regolare autenticazione forte delle operazioni e la mancata produzione dell’SMS ricevuto.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento. L’art. 10, comma 1, del d.lgs. n. 11/2010 pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti tecnici. Il comma 2 chiarisce che l’utilizzo di uno strumento registrato non basta a dimostrare l’autorizzazione dell’operazione né la fraudolenza o la colpa grave dell’utilizzatore.

Nel caso concreto l’intermediario ha prodotto i log informatici attestanti che il bonifico istantaneo è stato preceduto dall’accesso all’home banking mediante credenziali statiche e validato tramite notifica push sull’app installata sul dispositivo della ricorrente, previa generazione di un codice OTP trasmesso via SMS. Anche le ricariche sono state autorizzate con il medesimo sistema, che integra un fattore di conoscenza e un fattore di possesso. Non risultano anomalie nei sistemi dell’intermediario. Tali evidenze sono state ritenute conformi ai requisiti di autenticazione forte dalla giurisprudenza dello stesso Arbitro (Collegio di Roma, decisioni nn. 318/2021, 2299/2021, 12449/2023). L’onere probatorio è dunque assolto.

Passando alla condotta della ricorrente, il Collegio rileva che la stessa ha ricevuto un SMS da un numero non riconducibile all’intermediario, si è lasciata istruire da un finto operatore, ha autorizzato l’accesso da remoto al proprio dispositivo e ha disposto operazioni verso un terzo sconosciuto e ricariche della propria carta in un contesto del tutto anomalo. La giurisprudenza dell’Arbitro è costante nel ritenere gravemente colposa la condotta dell’utente che, su indicazione di un sedicente operatore, autorizzi l’accesso da remoto al dispositivo e compia operazioni di pagamento, perché tale comportamento vanifica i presidi di sicurezza e viola gli obblighi di diligenza nella custodia delle credenziali (Collegio di Roma, decisioni nn. 4317/2024, 7806/2023).

Ulteriore elemento è la mancata produzione del messaggio SMS ricevuto. Secondo il consolidato orientamento dell’ABF, tale omissione costituisce indice di colpa grave, perché impedisce di valutare l’affidamento dell’utente e gli elementi che avrebbero dovuto insospettirlo (Collegio di Roma, decisione n. 3032/2023). La ricorrente non ha giustificato l’omissione, limitandosi a descrivere il contenuto del messaggio. Il Collegio conclude pertanto per la colpa grave della ricorrente e respinge il ricorso, non sussistendo i presupposti per la condanna richiesta.