Colpa grave dell’utente e phishing telefonico nelle presunzioni di responsabilità (ABF Collegio di Bologna n. 2246 del 12.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento online disconosciute, spetta all’intermediario la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10, d.lgs. n. 11/2010. Fornita tale prova, il rischio della frode resta a carico dell’intermediario solo se all’utilizzatore non sia imputabile dolo o colpa grave, ai sensi degli artt. 7 e 12 del medesimo decreto. La colpa grave dell’utilizzatore può essere provata anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ex art. 2729 c.c.. La mancata allegazione delle circostanze della frode e l’omesso ricorso ai presidi di sicurezza messi a disposizione dall’intermediario concorrono a fondare il convincimento sulla negligenza grave del cliente.

Il Fatto

La ricorrente riferisce di essere stata contattata, il 7 maggio 2025, da un sedicente operatore dell’intermediario, attraverso un canale apparentemente riconducibile allo stesso, che la informava di un tentativo di clonazione della carta. Insospettita, interrompeva la conversazione e contattava il servizio clienti, apprendendo che si trattava di phishing telefonico. Accedendo ai propri canali telematici rilevava tre operazioni sospette, non ancora contabilizzate, di 490,00 euro ciascuna.

La ricorrente chiedeva la restituzione di 1.470,00 euro, oltre al risarcimento dei danni patrimoniali e non patrimoniali e delle spese legali, lamentando l’inadeguatezza degli strumenti di segnalazione e l’omesso intervento dell’intermediario. Quest’ultimo eccepiva la genericità della rappresentazione dei fatti e la colpa grave della cliente, che avrebbe assecondato le richieste del sedicente operatore fornendogli i codici di sicurezza e omettendo di utilizzare il c.d. “bollino di sicurezza“.

La motivazione del Collegio

Il Collegio ricostruisce la vicenda alla luce del d.lgs. n. 11/2010. Le operazioni contestate risultano tre pagamenti online di 470,00 euro ciascuno, disposti in rapida successione. Il primo passaggio argomentativo riguarda l’onere probatorio: l’art. 10 impone all’intermediario di dimostrare l’autenticazione, la corretta registrazione e la contabilizzazione dell’operazione. Solo una volta assolta tale prova si valuta se all’utilizzatore sia imputabile una condotta connotata da dolo o colpa grave, in violazione degli obblighi dell’art. 7; in difetto, il rischio resta a carico dell’intermediario ex art. 12.

Quanto alla prova dell’autenticazione, l’intermediario dimostra l’accesso all’internet banking da un nuovo dispositivo, autorizzato mediante password e OTP, e la successiva associazione dell’account al nuovo dispositivo mediante un secondo OTP. Il Collegio ritiene che l’utente abbia “riutilizzato” l’elemento di conoscenza già speso per l’accesso, secondo quanto previsto nella Q&A EBA 2018_4141. Le operazioni risultano poi autorizzate dal dispositivo associato ex novo, con corrispondenza di device ID e data di attivazione, mediante “tocco” sulla notifica push e digitazione della password. L’onere probatorio dell’art. 10 è dunque pienamente assolto.

Il Collegio passa quindi alla colpa grave della ricorrente, precisando che la prova può essere fornita anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ai sensi dell’art. 2729 c.c., richiamando sul punto Cass. civ., Sez. II, 18 gennaio 2010, n. 654. La narrazione offerta nella querela è giudicata piuttosto scarna e non è versata in atti evidenza della telefonata ricevuta. La scarsa contestualizzazione dei fatti impedisce di ricostruire l’accaduto, e in sede di ricorso la ricorrente ha aggiunto circostanze non documentate.

Rileva poi il presidio di sicurezza offerto dall’intermediario: un “bollino” che appare sulla schermata dell’internet banking ogni volta che l’utente viene realmente contattato dall’intermediario, la cui attivazione è stata comunicata alla clientela anche tramite mail alla ricorrente. L’omesso utilizzo di tale strumento avrebbe immediatamente chiarito la natura truffaldina della chiamata. Secondo gli orientamenti condivisi richiamati, la mancata allegazione del messaggio o della telefonata nei casi di asserito spoofing impedisce di stabilire un legittimo affidamento in capo all’utente; a fronte dell’avvenuta autorizzazione mediante SCA, si presume che la ricorrente abbia disposto personalmente i pagamenti ovvero abbia fornito a terzi le proprie credenziali (richiamate le decisioni del Collegio di Bologna n. 1589/2025 e n. 3888/2023).

Il Collegio esclude infine l’anomalia di cui all’art. 8, lett. a), punto 2, D.M. n. 112/2007: le tre transazioni presso il medesimo esercente, in rapida successione, non integrano l’indice previsto, che si realizza solo a partire dalla quarta richiesta nelle 24 ore, potendo tre operazioni corrispondere alla normale operatività dello strumento. Nessuna colpa è pertanto ascrivibile all’intermediario. Il ricorso non è meritevole di accoglimento.