Mancata allegazione SMS non prova colpa grave del cliente nel phishing (ABF Collegio di Bari n. 201 del 13.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, la disciplina del d.lgs. n. 11/2010, come novellato dal d.lgs. n. 218/2017, pone sul prestatore di servizi di pagamento il rischio dell’uso fraudolento dello strumento. L’autenticazione forte correttamente eseguita non è di per sé prova che l’operazione sia riconducibile alla volontà dell’utilizzatore, né esclude la responsabilità dell’intermediario. Questi può sottrarsi al rimborso solo provando il dolo o la colpa grave del cliente. Ove concorra uno degli indici di frode previsti dall’art. 8 del D.M. n. 112/2007, la responsabilità va ripartita in concreto secondo le circostanze di fatto.

Il Fatto

Il ricorrente, titolare di una carta di pagamento, riceveva un sms apparentemente inviato dall’intermediario che lo invitava a contattare un numero telefonico per bloccare un pagamento in corso. Chiamato il numero, il cliente si convinceva di parlare con un addetto dell’istituto e comunicava le credenziali di accesso al conto e il codice OTP ricevuto a mezzo sms. In tal modo venivano eseguite quattro operazioni di bonifico, tutte nella stessa giornata e in favore del medesimo beneficiario, per un totale accertato di € 4.998,20.

Il ricorrente chiedeva il rimborso dell’intera somma e sollecitava accertamenti investigativi. L’intermediario eccepiva la regolarità delle operazioni, eseguite con autenticazione forte tramite PIN e OTP inviato al device del cliente, con successivi sms alert, e lamentava la colpa grave del correntista che aveva ammesso di aver fornito ogni credenziale all’ignoto interlocutore. In via subordinata chiedeva la ripartizione proporzionale del danno con applicazione della franchigia.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, rilevando che le operazioni sono state eseguite sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e dopo l’entrata in vigore delle norme sull’autenticazione forte di cui al Regolamento Delegato (UE) n. 2018/389. L’art. 10 del d.lgs. n. 11/2010 pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata; il comma 2 chiarisce che l’uso di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’utilizzatore, né la sua frode o colpa grave. L’art. 10-bis impone l’autenticazione forte nei casi di accesso al conto on-line e di disposizione di operazioni di pagamento elettronico.

Richiamando l’orientamento del Collegio di Coordinamento n. 3947 del 24.6.2014 e la successiva decisione n. 22745/2019, il Collegio ribadisce che la disciplina istituisce un regime di speciale favore probatorio per l’utilizzatore, tenuto al semplice disconoscimento, mentre la responsabilità di questi resta circoscritta ai casi di frode o di inadempimento doloso o gravemente colposo degli obblighi di custodia. Il rischio d’impresa resta allocato sul fornitore del servizio. Analogo indirizzo è nella giurisprudenza di legittimità richiamata (Cass. n. 2950/2017, Cass. n. 9158/2018, Cass. n. 26916/2020), che colloca nell’area del rischio professionale del prestatore la possibilità di utilizzo dei codici da parte di terzi non attribuibile a dolo o a comportamenti talmente incauti da non poter essere fronteggiati.

Nel caso concreto l’intermediario ha provato la corretta autenticazione forte, con digitazione del PIN e del codice OTP inviato al numero abbinato al conto. Quanto alla colpa grave, il Collegio osserva che la ricostruzione del ricorrente non è supportata da prova, non avendo egli allegato l’sms ricevuto, che afferma essersi cancellato automaticamente: ciò impedisce ogni valutazione sulle circostanze della frode. Le mancate allegazioni costituiscono, secondo l’orientamento richiamato (Collegio di Bari n. 9006/2024, Collegio di Bologna n. 9361/2024, Collegio di Torino n. 8801/2024, Collegio di Milano n. 8468/2024), un elemento da cui trarre il convincimento sulla colpa grave.

Tuttavia, l’elevato numero di operazioni concentrate in un lasso di tempo ridotto lascia spazio alla valutazione dell’efficienza causale della mancata predisposizione, da parte del prestatore, di strumenti idonei a rilevare gli indici di frode. Tra questi, l’art. 8 del D.M. n. 112/2007 contempla tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo punto vendita. Nella specie, il 04.06.2025 sono state disposte quattro richieste in favore dello stesso beneficiario, circostanza che avrebbe dovuto imporre all’intermediario di approntare ogni strumento idoneo a impedire l’evento fraudolento o il suo aggravarsi. Il Collegio richiama sul punto la propria decisione n. 7126/2024, nonché le decisioni n. 8684/2022 e n. 13425/2022.

Tenuto conto della carenza di allegazioni, della concorrenza di uno degli indici di frode e del numero di operazioni, il Collegio liquida equitativamente un rimborso di € 2.000,00, accogliendo parzialmente il ricorso. La domanda volta a sollecitare un’attività investigativa è inammissibile, perché estranea alla competenza dell’Arbitro. L’intermediario è tenuto anche al contributo di € 200,00 alle spese della procedura e al rimborso di € 20,00 per il versamento iniziale.