Boxing e vishing: prova della SCA, colpa grave dell’utente e rimborso del 50 per cento (ABF Collegio di Palermo n. 3913 del 04.05.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di operazioni di prelievo ATM eseguite con carta di debito, il prestatore di servizi di pagamento deve provare l’autenticazione forte sia delle singole operazioni dispositive sia delle operazioni prodromiche idonee a incidere sulla sicurezza dello strumento, quali attivazione della carta, richiesta del PIN e variazione dei limiti. Accertata la conformità del sistema alla strong customer authentication e l’assenza di anomalie, le lacune allegatorie del cliente sulle circostanze della frode e le sue ammissioni su un contatto con un sedicente operatore costituiscono indizi gravi della sua colpa grave. In caso di intercettazione del plico contenente la carta e di rivelazione del PIN indotta da tecniche di ingegneria sociale, sussiste un concorso di colpa tra le parti, con ripartizione equitativa della perdita ordinariamente fissata al 50 per cento. Il rimborso di quella quota esaurisce il diritto del cliente, anche a fini risarcitori, in difetto di ogni supporto probatorio sul pregiudizio.

Il Fatto

Il ricorrente deduce che l’intermediario aveva emesso una nuova carta di debito a lui intestata, mai consegnata né attivata e rimasta nella disponibilità dell’istituto. Il 27 novembre 2025 venivano eseguiti quattro prelievi fraudolenti, per complessivi € 3.000,00, mediante uso materiale della carta e del relativo PIN. Il cliente provvedeva al blocco dello strumento, presentava denuncia e contestava formalmente via PEC. La banca dapprima rimborsava l’intero importo, poi ne recuperava metà, ritenendo la colpa grave del cliente.

Il ricorrente chiede l’accertamento della responsabilità dell’intermediario per la mancata consegna e per la vulnerazione delle misure di sicurezza, qualificando l’evento come possibile data breach ai sensi degli artt. 33, 34 e 82 del GDPR, e il risarcimento di € 7.500,00 per danno non patrimoniale. L’intermediario eccepisce la cessazione della materia del contendere per il rimborso già eseguito e, in subordine, l’inaccoglibilità della domanda, invocando l’art. 1227 c.c.

La motivazione del Collegio

Il Collegio ritiene preliminarmente ammissibile l’ampliamento della domanda in sede di repliche, poiché solo dopo il ricorso il ricorrente ha appreso della riduzione del rimborso. Passa quindi al merito della richiesta di restituzione integrale.

Quanto all’onere probatorio, il Collegio richiama l’art. 10 del d.lgs. n. 11/2010: il prestatore deve provare autenticazione, corretta registrazione e contabilizzazione dell’operazione, assenza di malfunzionamenti e il comportamento gravemente colposo dell’utilizzatore. La prova dell’autenticazione è antecedente logico rispetto a quella della colpa grave, secondo l’orientamento del Collegio di coordinamento n. 22745/2019.

Sul piano tecnico, la SCA richiede due fattori indipendenti tra conoscenza, inerenza e possesso, e deve presidiare anche le operazioni prodromiche, come affermato dal Collegio di coordinamento n. 21285/2021. Nel caso concreto, attivazione della carta, richiesta del PIN a video e variazione dei limiti risultano validate tramite dispositivo riconducibile al ricorrente, con fattore di inerenza “TOUCH”; i prelievi risultano autorizzati con lettura del chip e digitazione del PIN, come attestano i giornali di fondo ATM e i tracciati. La SCA è dunque provata per tutte le fasi.

Il Collegio valuta poi la colpa grave. La denuncia contiene pochi elementi, ma ammette una telefonata da numero sconosciuto, l’accesso all’home banking su invito del sedicente operatore e la ricezione di codici; il modulo di disconoscimento menziona un vishing. La carta era inattiva e il PIN ottenibile solo online, con procedura separata. L’invio per posta era legittimo ex art. 8, comma 1, lett. b), e comma 2, del d.lgs. n. 11/2010 e art. 39 del contratto.

Richiamato l’orientamento dei Collegi territoriali sul boxing con concorso di colpa e ripartizione al 50 per cento, il Collegio rileva che l’intermediario ha già corrisposto € 1.500,00. Il ricorrente è pertanto soddisfatto e nulla gli spetta, neppure a titolo risarcitorio. Il ricorso è non accolto.