Colpa grave del cliente esclude rimborso per phishing con carta di debito (ABF Collegio di Roma n. 2048 del 09.03.2026)

Principi di diritto (Massima)
Nel disconoscimento di una transazione e-commerce eseguita con carta di debito, laddove il cliente ammetta di aver dato seguito a una comunicazione di phishing e di aver inserito le credenziali su una pagina apparentemente riconducibile a un portale di vendita, il Collegio ritiene che egli sia vittima di colpevole credulità, trattandosi di fenomeno ormai noto al navigatore non esperto. L’operazione è autorizzata mediante fattori di possesso e di conoscenza/inerenza riconducibili al cliente e non presenta indici di anomalia nei sistemi dell’intermediario. La banca che esegue l’ordine di pagamento conformemente alle istruzioni impartite dal cliente non è tenuta al rimborso, non essendo configurabile alcun profilo di responsabilità dell’intermediario.

Il Fatto

Il ricorrente, che aveva messo in vendita un bene su una piattaforma di e-commerce, riceve un messaggio con il quale un sedicente acquirente comunica di aver acquistato l’oggetto e lo invita ad aprire un link per convalidare la vendita. Cliccando, il cliente approda su una pagina con i loghi della piattaforma, chiede chiarimenti in chat ricevendo rassicurazioni e inserisce i dati della propria carta di debito.

Subito dopo riceve una notifica push e si accorge di un addebito di € 495,00. Contatta l’assistenza della banca e blocca la carta, quindi disconosce l’operazione e presenta denuncia. L’intermediario respinge la richiesta di rimborso e i successivi reclami, sostenendo che il pagamento è stato autorizzato con le credenziali del cliente. Il ricorrente adisce l’ABF chiedendo la restituzione integrale della somma, deducendo il vizio del consenso e l’inadeguatezza delle misure antifrode.

La motivazione del Collegio

La questione riguarda il disconoscimento di una transazione e-commerce di € 495,00 eseguita il 4.8.2025. Il Collegio esamina anzitutto la tracciatura prodotta dall’intermediario, dalla quale risulta che l’operazione è stata effettuata in modalità di commercio elettronico sicuro e autorizzata tramite il servizio a distanza con codici statici e dinamici, nonché con una notifica push riportante l’importo e il beneficiario.

Il Collegio rileva che l’operazione è stata autorizzata direttamente dal cliente mediante il dispositivo utilizzato abitualmente e che non si è verificato alcun indice di criticità o anomalia nei sistemi dell’intermediario. La valorizzazione è avvenuta con fattore di possesso e con fattore di conoscenza/inerenza, secondo lo schema proprio dell’autenticazione forte.

Sul piano della responsabilità, il Collegio richiama l’orientamento consolidato dei Collegi ABF. In linea con la decisione n. 3498/2012 del Collegio di coordinamento, il cliente che dà seguito a una comunicazione di phishing è vittima di colpevole credulità, poiché tali forme di accalappiamento sono ormai note al navigatore di internet, anche non esperto. Nello stesso senso viene richiamata la decisione n. 1672 del 27.2.2024 del Collegio di Roma, secondo cui l’intrusione non autorizzata non è ascrivibile a un insufficiente grado di protezione informatica del servizio, ma a colpa grave del cliente incappato nel phishing.

Il Collegio richiama altresì la decisione n. 1820/2013 del Collegio di Coordinamento, secondo cui è tanto più colpevole l’atto di ingenuità del cliente quanto più si consideri che simili forme di truffa possono dirsi ormai note. Nel caso concreto, il ricorrente ha instaurato le trattative per la vendita di un bene su un sito non riconducibile all’intermediario, che non è stato coinvolto nella truffa e non può risponderne. Nello stesso senso è citata la decisione n. 6534 del 4.6.2024 del Collegio di Roma.

Alla luce di tali argomenti, il Collegio ritiene che il pagamento sia stato eseguito conformemente alle istruzioni impartite dal cliente e che non emerga alcun profilo di responsabilità dell’intermediario. La condotta del ricorrente integra quindi gli estremi della colpa grave, con conseguente reiezione della domanda di rimborso. Il ricorso è pertanto respinto.