Phishing con autorizzazione biometrica: il titolare dello strumento risponde della perdita (ABF Collegio di Bologna n. 4265 del 12.05.2026)

Principi di diritto (Massima)
Affinché un’operazione di pagamento possa qualificarsi come non autorizzata e ricadere nella disciplina di maggior tutela dell’art. 5 del d.lgs. n. 11/2010, deve difettare il consenso del pagatore. Tale consenso sussiste quando l’operazione sia personalmente, interamente e autonomamente eseguita dal titolare dello strumento, anche se la volontà sia stata sviata da un errore indotto da terzi. In questa ipotesi l’utente resta pienamente responsabile della perdita. Una responsabilità concorrente del PSP può configurarsi, secondo le norme di diritto comune, solo quando dalla documentazione emerga in concreto un apporto causale dell’intermediario alla frode, non essendo sufficiente la mancata segnalazione di anomalie atipiche.

Il Fatto

Il ricorrente, titolare di una carta di credito emessa dall’intermediario convenuto, riceveva sul proprio cellulare un SMS da un numero sconosciuto che lo avvisava della necessità di aggiornare i dati per la consegna di un pacco. In attesa di una spedizione, cliccava sul link e inseriva i propri dati anagrafici e quelli della carta. Autorizzava poi un pagamento apparentemente di zero euro, ricevendo subito dopo l’avviso di una transazione di Euro 890,30: l’importo indicato nella schermata, in Rupie Indonesiane, corrispondeva in realtà al pagamento da confermare.

Scoperta la truffa, si recava in filiale per bloccare la carta e chiedere il blocco del pagamento, che veniva comunque addebitato. Sporta denuncia e presentato il disconoscimento, il reclamo veniva riscontrato negativamente. Il ricorrente adiva quindi l’Arbitro chiedendo il rimborso, lamentando il mancato blocco di un’operazione palesemente anomala. L’intermediario eccepiva l’inammissibilità del ricorso per l’avvenuta autorizzazione della transazione e, nel merito, l’assenza di propria responsabilità e la colpa grave dell’utente.

La motivazione del Collegio

Il Collegio esamina congiuntamente al merito le eccezioni preliminari della resistente, ritenendole attinenti alla sostanza della controversia. Inquadra l’operazione sotto il vigore del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2).

Il punto dirimente è la qualificazione dell’operazione. Secondo l’orientamento dell’ABF richiamato, perché trovi applicazione la disciplina di diritto speciale sulle operazioni non autorizzate, di particolare favore per l’utente, deve difettare il requisito del consenso del pagatore. Nel caso concreto il consenso non manca: dagli atti e dalle dichiarazioni rese nel ricorso e nella denuncia emerge che il pagamento è stato eseguito con il device in uso al ricorrente, senza risultanze di enrollment su altri dispositivi, e che lo stesso ha ammesso di averlo personalmente autorizzato, confondendo l’importo della transazione con il numero di spedizione. L’utente è pertanto pienamente responsabile dell’operazione.

Il Collegio valuta poi l’eventuale responsabilità concorrente del PSP, che potrebbe venire in rilievo, secondo il medesimo orientamento e le norme di diritto comune, qualora dalla documentazione emergesse un apporto causale dell’intermediario alla frode. Tale circostanza non è né allegata né provata. L’operazione risulta correttamente autenticata mediante doppio fattore SCA, con notifica in App e riconoscimento biometrico.

Il Collegio valorizza infine gli indici di riconoscibilità della truffa. Il messaggio civetta proveniva da un numero sconosciuto, non riconducibile a corrieri e non inserito in una cronologia di messaggi genuini; il link era ignoto e non attendibile; il testo conteneva errori ortografici; il messaggio parlante della fase autorizzativa indicava in modo specifico e dettagliato la transazione. Elementi che avrebbero dovuto indurre il ricorrente a un comportamento più attento e prudente. Il ricorso è pertanto non accolto, con integrale sopportazione della perdita da parte del ricorrente.