Phishing e carta di debito: carente allegazione fonda colpa grave del titolare (ABF Collegio di Roma n. 3399 del 17.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dal titolare di una carta e asseritamente eseguite per effetto di phishing o vishing, il riparto dell’onere probatorio non si esaurisce nella verifica della strong customer authentication. La mancata allegazione delle circostanze di fatto della frode e la mancata produzione degli elementi che la documentano, come il testo del messaggio civetta, costituiscono per l’Arbitro un elemento di convincimento, valutabile unitamente alle altre risultanze, nel senso della colpa grave del cliente. In tale ipotesi la richiesta restitutoria verso l’intermediario è respinta.

Il Fatto

La ricorrente, titolare di una carta di debito, contesta due addebiti di euro 391,00 e di euro 381,00, eseguiti la sera del 6 maggio 2023 in favore di un beneficiario sconosciuto. Riferisce di aver ricevuto sulla propria utenza un SMS apparentemente proveniente dalla banca, con invito ad aggiornare le credenziali di accesso all’area riservata, e di aver quindi modificato le proprie credenziali. Subito dopo avrebbe ricevuto due telefonate di un sedicente addetto dell’ufficio antifrode. In replica alla banca, la cliente inquadra la vicenda come vishing e spoofing e chiede il rimborso integrale di euro 772,00.

L’intermediario si oppone: le operazioni sarebbero state approvate con autenticazione forte e senza anomalie, dal medesimo dispositivo della cliente, senza modifiche del device poco prima della disposizione. La resistente richiama l’orientamento per cui grava sul ricorrente l’onere di fornire elementi utili a provare la natura fraudolenta dell’operazione e deduce colpevole credulità della titolare.

La motivazione del Collegio

Il Collegio sposta l’asse dell’analisi dal piano della conformità tecnica a quello della allegazione. La ricorrente, osserva, non offre elementi utili a ricostruire la frode: si limita a riferire genericamente di aver cambiato le credenziali dopo aver ricevuto un messaggio apparentemente proveniente dalla banca. Non è presente in atti il testo del messaggio civetta, che la proponente ammette di non aver conservato.

Questo rilievo non è neutro. Secondo l’orientamento dei Collegi territoriali richiamato nel provvedimento, le mancate allegazioni del cliente sulle circostanze della frode sono un elemento da cui l’Arbitro può trarre il proprio convincimento, insieme ad altre circostanze, sulla colpa grave del ricorrente. Il Collegio cita sul punto la Collegio di Roma, decisione n. 11050/2024.

A ciò si aggiunge il dato tecnico fornito dalla banca: la mancata modifica del device utilizzato per le operazioni, verosimilmente disposte mediante il mobile token della cliente. Il Collegio sottolinea che tale circostanza non è stata contestata in repliche.

In assenza di elementi idonei a contestualizzare l’evento truffaldino, il ricorso è respinto e la colpa grave desunta. Il Collegio richiama la propria decisione n. 23474/2021, secondo cui l’assoluta carenza di allegazione rende eccessivamente generica la rappresentazione del fatto costitutivo della pretesa restitutoria.