Phishing e autorizzazione del pagamento: la media diligenza esclude la responsabilità dell’intermediario (ABF Collegio di Roma n. 695 del 26.01.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con immissione della disposizione e di tutti i fattori di autenticazione, l’operazione deve considerarsi autorizzata. Non trova pertanto applicazione il regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/UE e dal d.lgs. n. 11/2010. L’utente che, vittima di phishing o smishing, dia corso spontaneamente al pagamento versa in colpa grave, idonea a escludere la responsabilità dell’intermediario ai sensi dell’art. 10, co. 2, d.lgs. n. 11/2010. La sola esecuzione di un’unica operazione, di importo contenuto e occasionale, non integra gli indici di anomalia che impongono all’intermediario di bloccarla.

Il Fatto

Una società ricorrente riferisce di aver ricevuto, il 5 agosto 2024, un SMS che segnalava un supposto errore nell’indirizzo di consegna di un ordine acquistato on line. Aprendo il link indicato nel messaggio, il legale rappresentante della società autorizzava il pagamento di un onere accessorio per il trasporto, esposto in valuta estera anziché in Euro. Sul conto veniva poi addebitata la somma di Euro 4.634,94, che la ricorrente assume mai debitamente autorizzata.

La società ha quindi chiesto il riaccredito, dolendosi del mancato rimborso nonostante il disconoscimento dell’operazione e del silenzio sul reclamo. L’intermediario si è difeso sostenendo che il pagamento fosse stato autorizzato mediante autenticazione biometrica del dispositivo del legale rappresentante, che la ricorrente fosse in colpa grave per non aver riconosciuto la truffa e che non ricorressero indici di anomalia dell’operazione.

La motivazione del Collegio

Il Collegio circoscrive anzitutto l’oggetto della controversia, ritenendo appurato, anche a seguito del contraddittorio, che l’operazione abbia valore pari a Euro 4.634,94. Passa poi a verificare se le concrete modalità esecutive del pagamento rendano responsabile l’intermediario o siano imputabili, anche solo in parte, alla ricorrente.

Richiamando l’orientamento consolidato dell’Arbitro, il Collegio afferma che quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata, con conseguente inapplicabilità del regime di responsabilità per le operazioni non autorizzate di cui alla PSD2 e al d.lgs. n. 11/2010. Nel caso concreto, è la stessa ricorrente ad ammettere di aver svolto personalmente ogni fase del pagamento, confidando nella legittimità dell’SMS ricevuto, comunicazione non riconducibile all’intermediario né a esso apparentemente connessa. Il link contenuto nel messaggio era diretto a una pagina imitante il sito di un noto vettore.

Dalla documentazione in atti emerge che non vi fu alcuna manomissione dei dispositivi, alcun accesso non autorizzato alle utenze né alcuna indebita intromissione nei procedimenti autorizzativi. La ricorrente è stata vittima inconsapevole di un phishing, cui ha dato seguito spontaneamente, senza che l’intermediario abbia fatto, omesso o permesso alcunché idoneo ad agevolare la truffa.

Il Collegio ritiene inoltre che le modalità della frode avrebbero dovuto insospettire la ricorrente: il nominativo del destinatario, ignoto; la valuta estera richiesta per somme connesse a una spedizione locale; la natura sospetta del link e le anomalie del testo del messaggio. Tali circostanze dimostrano la colpa grave dell’utente e escludono l’applicabilità dell’art. 10, co. 2, d.lgs. n. 11/2010, richiamando il Collegio la propria decisione n. 554/2023 e il Collegio di Coordinamento, decisione n. 22745/2019, secondo cui l’ampia diffusione del fenomeno e la sufficienza di una media diligenza a scongiurarlo fondano la colpa grave.

Infine, quanto all’asserita anomalia dell’operazione, il Collegio esclude che ricorra alcuno degli indici di anomalia del D.M. n. 112/2017 o quei connotati di numero, tipo e importo rilevanti per la diligenza del bonus argentarius, trattandosi di una sola operazione, di importo contenuto e occasionale. Il ricorso è pertanto respinto.