Phishing e autorizzazione biometrica: operazione non autorizzata ma colpa grave del cliente (ABF Collegio di Roma n. 679 del 26.01.2026)

Principi di diritto (Massima)
Nel phishing in cui l’importo della disposizione di pagamento sia stato inserito dal truffatore e il pagatore abbia validato con fattore biometrico una push autorizzativa recante un importo diverso da quello inteso, l’operazione deve ritenersi non autorizzata e non riconducibile al regime dell’art. 9 d.lgs. n. 11/2010. Il pagatore che abbia dato seguito a una comunicazione fraudolenta non proveniente dall’intermediario risponde tuttavia per colpa grave, per la credulità con cui aderisce a forme di accalappiamento ormai note. Non è imposto alcun obbligo di indicare in euro il controvalore di un’operazione in valuta estera, essendo sufficiente che il pagatore sia informato dell’importo e del beneficiario ai sensi dell’art. 5 Reg. UE 2018/389.

Il Fatto

Il ricorrente riceve un sms da un’utenza privata che lo invita a cliccare su un link per sbloccare la consegna di un pacco atteso. Cliccato il collegamento, viene indirizzato su un sito apparentemente riferibile a una società di spedizioni, dove gli è richiesto il pagamento di euro 0,27 per la riconsegna. Dopo l’autorizzazione, sulla carta viene addebitata la somma di 15.000.000,00 IDR, pari a euro 817,50, oltre commissione, per un totale contestato di euro 831,81.

Il ricorrente agisce per il rimborso e lamenta la tardiva gestione del reclamo. La banca eccepisce che la transazione è stata autenticata mediante fattore biometrico sul device del cliente e preceduta da push autorizzativa con importo e beneficiario; invoca la colpa grave del pagatore e il carattere phishing dei contatti, nessuno dei quali riconducibile all’intermediario. Nelle repliche il ricorrente conferma l’autorizzazione ma deduce di non aver avuto contezza dei dati dell’operazione e di non aver ricevuto l’sms riepilogativo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis, richiamando la PSD2 e il d.lgs. n. 218/2017, con decorrenza delle misure di sicurezza dal 14.09.2019, e il Regolamento Delegato UE 2018/389. Sulla responsabilità del pagatore richiama l’art. 12, comma 2-bis, d.lgs. n. 11/2010, e la nozione di autenticazione forte dell’art. 1, comma 1, lett. q-bis), precisata dall’Opinion EBA del 21 giugno 2019.

Sul punto centrale, il Collegio richiama l’orientamento secondo cui l’operazione eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, è autorizzata. Rientrano in questa fattispecie le operazioni compiute seguendo le indicazioni del frodatore senza consapevolezza di disporre una transazione, come quelle “sotto dettatura”. Nel caso concreto, poiché l’intenzione era autorizzare euro 0,27, l’importo deve ritenersi inserito dal truffatore e solo successivamente validato con fattore biometrico: l’operazione è dunque non autorizzata.

Il Collegio esclude anomalie di enrollment: l’app era installata sul medesimo device sin dal 22.12.2024 e già utilizzata per accessi e operazioni, con autenticazione a due fattori (push e biometria). Passa quindi alla colpa grave: il ricorrente ha aderito a un link ricevuto da utenza privata, privo di riferimenti alla banca, e ha ignorato la push autorizzativa e il messaggio di alert, incorrendo in colpevole credulità, secondo l’orientamento del Collegio di Coordinamento n. 3498/2012, richiamato con le decisioni Collegio di Roma n. 5554/23 e Collegio di Bologna n. 8419/24.

Quanto alla doglianza sull’assenza del controvalore in euro, il Collegio osserva che l’art. 5 Reg. UE 2018/389 impone l’informazione su importo e beneficiario e l’invalidamento del codice in caso di modifica, ma non prevede l’indicazione del controvalore in valuta. Sulla gestione del disconoscimento, la banca ha riscontrato il 06.05.2025 e poi il 16.06.2025 entro i quindici giorni lavorativi, avendo il ricorrente indicato una PEC non gestibile dai sistemi. Il ricorso è pertanto respinto.