Colpa grave dell’utente che autorizza il Mobile Token al truffatore telefonico (ABF Collegio di Milano n. 1985 del 05.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non volute, il prestatore di servizi di pagamento che provi l’avvenuta autenticazione forte del cliente e la corretta registrazione dell’operazione è esonerato dall’obbligo di rimborso quando l’utente abbia agito con dolo o colpa grave. Integra colpa grave la condotta dell’utente che, contattato da un sedicente operatore, chiami di iniziativa un numero non ufficiale e, seguendone pedissequamente le istruzioni, comunichi codici personali e autorizzi l’installazione di un nuovo Mobile Token su un dispositivo terzo, rendendo così possibile la frode. L’affidamento in un interlocutore telefonico sconosciuto non è scusato dalla raffinatezza delle tecniche di ingegneria sociale, perché la catena causale del danno è interrotta dalla condotta gravemente negligente del cliente.

Il Fatto

Il ricorrente riferisce di essere stato vittima, nell’agosto 2025, di una truffa commessa con le tecniche dello spoofing e del vishing. Riceveva un SMS, apparentemente proveniente dalla banca, che lo allertava su un’operazione sospetta e lo invitava a contattare un numero fisso per le verifiche. Contattato il numero, parlava con un sedicente operatore che lo informava di un tentativo di frode in corso e della necessità di bloccare le carte.

Durante una conversazione durata circa un’ora, su istruzione del truffatore il ricorrente installava un nuovo Mobile Token e autorizzava quattro pagamenti non voluti, per un totale di € 6.571,50. Accortosi in seguito della truffa, presentava denuncia e reclamo e chiedeva la restituzione della somma. La banca si costituiva eccependo la regolarità delle operazioni e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio richiama il D.Lgs. n. 11/2010 in materia di servizi di pagamento. Ai sensi dell’art. 10, sul prestatore grava l’onere di provare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata. Assolto tale onere, spetta al prestatore dimostrare il dolo o la colpa grave dell’utente, per essere esonerato dal rimborso secondo l’art. 12.

Nel caso concreto l’intermediario ha prodotto i log informatici, dai quali emerge che le operazioni sono state autorizzate con credenziali personali e codici OTP generati dal Mobile Token, la cui installazione su un nuovo dispositivo è stata a sua volta autorizzata dal cliente durante la telefonata con il truffatore. La prima parte dell’onere probatorio è dunque assolta.

Il Collegio valuta quindi la condotta del ricorrente alla stregua del consolidato orientamento dell’Arbitro, secondo cui la colpa grave consiste in una straordinaria e inescusabile imprudenza, che si discosta in modo macroscopico dalle normali regole di prudenza. La tecnica dello spoofing, per quanto insidiosa, non giustifica le due azioni contestate: aver contattato di iniziativa un numero sconosciuto e non ufficiale e aver seguito le istruzioni del sedicente operatore, comunicando codici e autorizzando l’attivazione di un nuovo strumento di sicurezza su un dispositivo terzo.

Il cliente, ricevendo notifiche e richieste di autorizzazione per operazioni che non stava compiendo, avrebbe dovuto insospettirsi e interrompere ogni comunicazione, contattando la banca attraverso i canali ufficiali. La comunicazione di credenziali e l’approvazione di operazioni su istruzione di terzi via telefono sono condotte talmente avventate da non poter essere scusate. La catena causale del danno non origina da una falla nei sistemi della banca, ma è deviata dalla condotta gravemente colposa del ricorrente.

Ai sensi dell’art. 12, comma 3, del D.Lgs. n. 11/2010, l’intermediario è pertanto esonerato da ogni obbligo di rimborso. Il ricorso è integralmente respinto.