La frode informatica con operazioni autorizzate dal cliente esclude il rimborso (ABF Collegio di Milano n. 1979 del 05.03.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte e autenticate personalmente dal cliente, anche se indotte da una frode di social engineering, sono autorizzate ai sensi del D.Lgs. n. 11/2010 e non rientrano nel regime di rimborso previsto per le operazioni non autorizzate. Il consenso, pur viziato dal dolo del truffatore, resta comunque prestato dal titolare dello strumento di pagamento, con la conseguenza che la controversia si risolve sui principi generali di diligenza professionale e buona fede. L’intermediario non risponde del danno se ha adottato sistemi di monitoraggio idonei e se le operazioni, per caratteristiche e modalità di esecuzione, non presentavano quella serialità automatica che impone il blocco immediato. Il rimborso parziale ottenuto tramite procedure di recall costituisce attività di mitigazione del danno e non ammissione di responsabilità.

Il Fatto

La ricorrente riferisce di essere stata vittima di una frode telefonica e informatica basata su spoofing e vishing. Contattato un numero indicato in un SMS e indotta a credere di collaborare a un’indagine antifrode, eseguiva quattro operazioni per complessivi € 42.700,00: una ricarica online di € 900,00, una ricarica di € 1.800,00 e due operazioni da € 20.000,00 ciascuna, queste ultime disposte presso uno sportello dell’intermediario.

Avvedutasi della truffa solo in serata, la cliente chiedeva il disconoscimento delle operazioni. L’intermediario, attivate le procedure di recall, recuperava e restituiva € 28.694,00. La ricorrente agiva quindi davanti all’Arbitro per ottenere il rimborso della somma residua di € 14.006,00, sostenendo la responsabilità dell’intermediario per omessa adozione di misure idonee a prevenire e bloccare la frode. L’intermediario chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio affronta anzitutto la qualificazione giuridica delle operazioni, da cui dipende il regime di responsabilità applicabile. È pacifico, e ammesso dalla stessa ricorrente, che tutte le operazioni siano state materialmente disposte e autenticate da lei medesima con i propri strumenti di sicurezza personalizzati: codici OTP, impronta digitale e PIN.

Su questa base il Collegio esclude l’applicabilità della disciplina sulle operazioni non autorizzate. L’art. 10 del D.Lgs. 27 gennaio 2010, n. 11 pone sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ma presuppone un’operazione eseguita in assenza del consenso del pagatore. Nel caso concreto il consenso, benché viziato dal dolo del terzo, è stato comunque prestato dal titolare dello strumento. Ne consegue l’inapplicabilità del regime di rimborso immediato dell’art. 11 del medesimo decreto.

La controversia va quindi risolta secondo i principi generali del codice civile, in particolare l’art. 1176, secondo comma, cod. civ. e l’art. 1375 cod. civ., che impongono all’intermediario di adottare misure idonee a prevenire e mitigare i rischi di frode. Il Collegio riconosce che l’intermediario deve dotarsi di sistemi di monitoraggio, ma precisa che l’anomalia di una transazione va valutata su tutte le circostanze del caso concreto. Tre delle quattro operazioni sono state eseguite dalla cliente recandosi personalmente presso gli sportelli, con regolare identificazione e autorizzazione tramite PIN: la presenza fisica e l’autenticazione forte tendono a confermare la genuinità della volontà del disponente.

Il Collegio distingue poi la fattispecie da quelle in cui è stata ravvisata una responsabilità dell’intermediario per non aver bloccato una serie abnorme di operazioni ripetitive, eseguite in rapida successione e con caratteristiche identiche. Nel caso in esame le operazioni, pur ingenti e concentrate in una sola giornata, erano diversificate per tipologia (ricarica online, ricariche e disposizione allo sportello) e prive di quella serialità automatica che imporrebbe un blocco immediato, peraltro in contrasto con la volontà espressa e autenticata dalla cliente presente allo sportello.

Quanto al rimborso parziale, il Collegio lo qualifica come esito delle procedure di recall avviate tempestivamente, attività di cooperazione volta a mitigare il danno e non ammissione di responsabilità. L’intermediario ha sempre sostenuto la correttezza del proprio operato. La causa efficiente del danno risiede nell’azione manipolatoria del truffatore e nella condotta della cliente che ha dato esecuzione materiale ai pagamenti. Il ricorso è pertanto non accolto.