Phishing con accesso remoto e colpa grave dell’utente nel disconoscimento dei bonifici (ABF Collegio di Roma n. 4526 del 20.05.2026)

Principi di diritto (Massima)
L’utente che, su indicazione di un sedicente operatore, installi sul proprio dispositivo un’app di accesso e controllo da remoto, consentendo al frodatore di generare in modo silente l’OTP del mobile token e di disporre pagamenti, pone in essere una condotta connotata da colpa grave. In tal caso l’intermediario non è tenuto al rimborso delle operazioni non autorizzate, perché l’evento dannoso è riconducibile alla negligenza grave del cliente nella custodia delle credenziali e nella gestione dello strumento. La qualificazione del ricorrente come non consumatore, desunta dall’entità delle movimentazioni, incide sul quadro di tutela applicabile. Il Collegio respinge il ricorso.

Il Fatto

Il ricorrente riceveva un sms apparentemente proveniente dalla banca, con invito a contattare con urgenza il servizio clienti. Messo in contatto con un sedicente operatore, veniva convinto della necessità di operazioni di manutenzione sui conti online per ragioni di sicurezza. Su indicazione del truffatore scaricava dal play store un’applicazione apparentemente riconducibile all’intermediario, che consentiva a terzi il controllo remoto del dispositivo.

Venivano disposti cinque bonifici per complessivi 71.190,00 euro; due furono stornati. Il ricorrente chiedeva quindi il ristoro di 41.640,00 euro, negando di aver comunicato le proprie credenziali. L’intermediario eccepiva l’avvenuta autenticazione a doppio fattore e l’assenza di anomalie nei sistemi, invocando la custodia negligente dello strumento e delle credenziali.

La motivazione del Collegio

Il Collegio circoscrive l’oggetto del contendere a tre bonifici, per l’importo richiesto di 41.640,00 euro, esclusi quelli riaccreditati. Le operazioni ricadono nell’ambito del d.lgs. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della Direttiva 2015/2366/UE (PSD 2).

In via preliminare il Collegio riqualifica la posizione del ricorrente: pur essendosi questi qualificato “consumatore” nel modulo di ricorso, dagli estratti conto emergono movimentazioni di importo elevato, riconducibili anche a un’attività professionale, con conseguente qualifica di non consumatore.

Nel merito l’intermediario rappresenta che le operazioni sono state autenticate con PIN (fattore di conoscenza) e OTP generata in modo silente dal mobile token (fattore di possesso), sul dispositivo del cliente sottoposto a controllo remoto, senza malfunzionamenti o compromissioni dei sistemi.

Il Collegio valorizza la ricostruzione documentale: l’sms civetta è privo di intestazione e il numero non è riferibile all’intermediario; dell’applicazione con il logo della banca non è prodotta documentazione. Richiamando l’orientamento dei Collegi ABF (Collegio di Roma, decisione n. 4317/2024), il Collegio afferma che integra colpa grave la condotta dell’utente che, su indicazione del frodatore, installi anche inconsapevolmente un’applicazione la cui funzionalità risiede nel permettere l’accesso e il controllo da remoto del dispositivo, consentendo al frodatore di agire indisturbato e disporre i pagamenti.

Alla condotta del ricorrente il Collegio ascrive anche negligenza grave, per aver agevolato il compimento della truffa. Il ricorso è pertanto respinto.