Vishing e colpa grave dell’utente che autorizza il pagamento nonostante l’avviso dell’app (ABF Collegio di Milano n. 4921 del 29.05.2026)

Principi di diritto (Massima)
In tema di vishing, il prestatore di servizi di pagamento è esonerato da responsabilità quando dimostra, ai sensi dell’art. 10 del D.Lgs. n. 11/2010, che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. La prova dell’avvenuta autenticazione forte del cliente (SCA), realizzata mediante due elementi indipendenti di possesso e conoscenza, soddisfa l’onere probatorio del PSP. La responsabilità dell’intermediario resta inoltre esclusa quando ricorre il dolo o la colpa grave dell’utente, che integra la colpa grave nel comportamento di chi autorizza i pagamenti nonostante l’avviso inequivocabile dell’app e seguendo le istruzioni telefoniche di un sedicente operatore.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario, riceve sull’app della banca una notifica relativa a un addebito di € 25,94. Mentre tenta di bloccare la carta di debito viene contattata da un sedicente operatore dell’istituto, che la indirizza a un presunto collega e la convince a cliccare “acconsenti” su una notifica per ottenere il rimborso della somma.

Rassicurata dall’accredito ricevuto, la cliente segue ulteriori notifiche presentate come necessarie per bloccare e stornare pagamenti fraudolenti. Vengono così addebitate tre operazioni per complessivi € 758,75, di cui chiede il rimborso. L’intermediario resiste sostenendo l’avvenuta autenticazione forte e, in subordine, la colpa grave della cliente, che avrebbe autorizzato le operazioni nonostante le indicazioni contrarie dell’app.

La motivazione del Collegio

Il Collegio inquadra la vicenda nella disciplina del D.Lgs. n. 11/2010, come modificato dal D.Lgs. n. 218/2017 di attuazione della Direttiva (UE) 2015/2366 (PSD2). Quando l’utente nega di aver autorizzato l’operazione, l’art. 10 del D.Lgs. n. 11/2010 pone a carico del PSP l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. La responsabilità può essere esclusa se l’intermediario prova anche il dolo o la colpa grave dell’utente.

Il Collegio procede quindi a una duplice verifica: la regolarità dell’autenticazione e la sussistenza della colpa grave. Sul primo punto richiama la SCA, che richiede almeno due elementi indipendenti tra conoscenza, possesso e inerenza. I log informatici prodotti dall’intermediario, corredati da legenda, attestano l’invio di una notifica PUSH sul dispositivo registrato in uso alla cliente (elemento di possesso) e la validazione tramite PIN personale (elemento di conoscenza). La procedura è pertanto conforme alla normativa e l’onere probatorio risulta assolto.

Quanto alla condotta della cliente, il Collegio rileva più elementi di colpa grave. Anzitutto ella ha seguito istruzioni provenienti da un numero di cellulare e non da un numero verde ufficiale dell’istituto. La diligenza minima impone di non autorizzare operazioni sulla base di contatti telefonici inattesi e di contattare autonomamente la banca tramite i canali ufficiali.

L’elemento decisivo emerge dall’ammissione contenuta nella denuncia: la ricorrente ha dichiarato di aver visto sulle notifiche la dicitura “autorizza il pagamento” e, nonostante il dubbio manifestato all’interlocutore, di aver proceduto ugualmente prestando fede alle rassicurazioni del truffatore. Aver ignorato un avvertimento chiaro e proveniente da un canale ufficiale, l’app della banca, per seguire le istruzioni di un soggetto sconosciuto, travalica la semplice negligenza e integra la colpa grave, in violazione degli obblighi di diligenza e custodia delle proprie credenziali.

In conclusione, l’intermediario ha provato sia la corretta autenticazione sia la colpa grave della ricorrente, che ha di fatto neutralizzato i presidi di sicurezza. Ai sensi dell’art. 12 del D.Lgs. n. 11/2010 la perdita resta a carico dell’utente e il ricorso è non accolto.