Phishing e PSD2: SCA e colpa grave dell’utente nel bonifico istantaneo (ABF Collegio di Bari n. 3528 del 22.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario assolve l’onere probatorio di cui all’art. 10 d.lgs. n. 11/2010 quando dimostra, mediante i log di sistema corredati da note esplicative, che l’operazione è stata eseguita previa autenticazione forte conforme alla disciplina PSD2. La neutralità tecnologica della direttiva consente di integrare i log con legenda e difese del prestatore, purché consentano di verificare i singoli passaggi registrati. L’accertata regolarità della SCA non esaurisce però l’onere: occorre la prova, anche presuntiva, della colpa grave dell’utilizzatore. Essa può desumersi dal comportamento del cliente che inserisca credenziali e OTP su una pagina raggiunta tramite comunicazione fraudolenta, tanto più se le dichiarazioni rese in denuncia assumono valore confessorio ai sensi dell’art. 2730 c.c. La mancata allegazione del messaggio civetta impedisce di accertare il legittimo affidamento dell’utente.

Il Fatto

Il ricorrente, titolare di una rivendita, riferisce di aver ricevuto una e-mail apparentemente proveniente dall’intermediario che lo invitava ad aggiornare i dati anagrafici. Dopo aver cliccato il collegamento e inserito le credenziali di accesso, si avvedeva della sottrazione di euro 3.131,00. Sporta denuncia e compilato il modulo di disconoscimento, chiedeva la restituzione della somma.

L’intermediario eccepiva che si trattava di un bonifico istantaneo disposto previo accesso da un dispositivo non in precedenza autenticato, con certificazione del nuovo device mediante OTP inviata via SMS al numero del cliente e successiva autorizzazione tramite notifica push e PIN. Chiedeva il rigetto del ricorso e, in subordine, la graduazione della responsabilità ai sensi dell’art. 1227 c.c. Il ricorrente replicava di aver agito su un sito esteticamente identico a quello ufficiale, senza però produrre la e-mail fraudolenta.

La motivazione del Collegio

Il Collegio accerta che l’operazione contestata consiste in un bonifico istantaneo di euro 3.131,00 del 02/09/2025, eseguito sotto il vigore del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017. La vicenda integra una truffa informatica riconducibile a tecniche di phishing, verosimilmente combinate con smishing o vishing.

Il Collegio richiama l’orientamento condiviso secondo cui la PSD2 è tecnologicamente neutrale e non impone un sistema standard di tracciatura dei fattori di autenticazione. Ai fini della prova della SCA possono quindi rilevare, oltre ai log, anche legenda e difese del prestatore, purché permettano di verificare i singoli passaggi registrati. Nel caso concreto i log documentano la certificazione del nuovo device tramite password e OTP SMS, il login con password e notifica push, e l’autorizzazione del bonifico mediante device certificato e PIN. L’intermediario ha dunque assolto l’onere di cui all’art. 10 d.lgs. n. 11/2010, dimostrando un sistema di autenticazione forte conforme e correttamente funzionante.

Richiamato il principio del Collegio di Coordinamento n. 22745/2019, secondo cui la sola prova dell’autenticazione formale non soddisfa l’onere sulla colpa grave, il Collegio ritiene comunque integrato tale requisito. Il cliente ha inserito username, password e OTP nella pagina raggiunta tramite la e-mail fraudolenta, consegnando di fatto i codici ai truffatori. La circostanza è confermata dalla dichiarazione contenuta nella denuncia, cui va riconosciuto valore confessorio.

Quanto al dedotto affidamento, il Collegio osserva che agli atti non risulta prodotta copia della e-mail civetta né la registrazione della telefonata. Tale carenza non consente di accertare la sussistenza degli estremi di un legittimo affidamento dell’utente circa la genuinità dell’interlocuzione. Irrilevante, infine, la mancata attivazione di presidi ex post, essendo stata posta in essere una sola operazione.

Alla luce di tali rilievi il Collegio esclude qualsiasi responsabilità dell’intermediario e non accoglie il ricorso.