Frode smishing e vishing onere prova SCA e colpa grave cliente (ABF Collegio di Napoli n. 291 del 15.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite con carta di debito, il rischio di utilizzazione fraudolenta grava in prima battuta sul prestatore di servizi di pagamento, il quale può sottrarsi all’obbligo di rimborso solo provando che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ovvero il dolo o la colpa grave dell’utilizzatore ai sensi degli artt. 7 e 12, comma 4, d.lgs. n. 11/2010. La strong customer authentication può essere dimostrata anche mediante log, legenda e allegazioni difensive del prestatore, purché consentano di ricostruire i singoli passaggi registrati dal sistema. Integra colpa grave la condotta del cliente che, vittima di smishing e vishing, riveli le credenziali di sicurezza e consegni la carta integra a soggetti estranei, così consentendo l’aggiramento dei presidi di sicurezza.

Il Fatto

La ricorrente, titolare di un rapporto di conto corrente, riceveva sulla propria utenza mobile tre sms inseriti nella chat genuina con l’intermediario, con invito a contattare con urgenza un numero telefonico fisso. Dopo avere telefonato al recapito indicato, le veniva riferito di una presunta clonazione del bancomat e di tentativi di intrusione nell’home banking; l’interlocutore le chiedeva conferma di alcuni movimenti realmente eseguiti, le rappresentava la necessità di sostituire la carta e la invitava a consegnarla in busta chiusa a un corriere.

In seguito la correntista riceveva ulteriori sms con presunte nuove credenziali e, su richiesta del sedicente operatore, comunicava le precedenti credenziali e il codice PIN. Solo il 20/12/2024, insospettita da un messaggio su ritardi nelle consegne, contattava il servizio clienti e apprendeva dell’avvenuto compimento di prelievi ATM e pagamenti POS per complessivi € 22.430,39; chiedeva quindi il blocco della carta e sporgeva denuncia, domandando all’Arbitro il rimborso integrale o, in via subordinata, parziale.

La motivazione del Collegio

Il Collegio affronta anzitutto la questione di competenza sulla lamentata violazione della normativa privacy, affermando che l’Arbitro è competente quando il data breach denunciato sia collegato alla prestazione di servizi bancari e finanziari; nel caso concreto la doglianza risulta già proposta nel ricorso e non soltanto in sede di repliche.

Nel merito, le operazioni ricadono nell’ambito applicativo del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il Collegio richiama gli artt. 10 e 10-bis del decreto e rileva che, a fronte del disconoscimento, incombe sul prestatore l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione. La PSD 2 è tecnologicamente neutrale e non impone un sistema informatico standard di tracciatura dei fattori di autenticazione forte, sicché l’onere può essere assolto anche con elementi esplicativi ulteriori rispetto ai log.

L’intermediario ricostruisce la sequenza delle otto operazioni, tutte autorizzate mediante autenticazione a due fattori appartenenti alle categorie della conoscenza e del possesso: l’accesso all’home banking tramite token fisico, la modifica dei massimali, i prelievi ATM con chip e PIN, il prelievo in cassa veloce con PIN e OTP e i pagamenti POS con doppio fattore. Quanto al riutilizzo del primo fattore nella medesima sessione, il Collegio richiama il Q&A EBA 2018-4141, che lo ritiene ammissibile. I giornali di fondo e la progressione del contatore ATC non evidenziano anomalie.

Il Collegio ravvisa quindi la colpa grave della ricorrente, che ammette in sede di denuncia di avere rivelato le credenziali di sicurezza e di avere consegnato la carta integra all’interno della cassetta della pubblicità condominiale; la chiamata era rivolta a un numero non riconducibile all’istituto e le interlocuzioni avvenivano su un canale non utilizzato dalla banca. La fattispecie è ricondotta alla truffa mediante smishing e vishing, in cui il cliente è vittima di colpevole credulità. Non sussistono gli indici di frode dell’art. 8 d.m. n. 112/2007, privi di valore precettivo diretto. Quanto agli sms alert, la banca produce evidenza dell’invio e della consegna, mentre il blocco della carta avviene oltre un giorno dopo la prima operazione.

Il ricorso è pertanto non accolto, escludendosi ogni apporto causale dell’intermediario.