Phishing bancario e colpa grave dell’utente che rivela le credenziali (ABF Collegio di Bari n. 717 del 27.01.2026)

Principi di diritto (Massima)
Nel contenzioso sui servizi di pagamento il rischio dell’utilizzazione illecita dello strumento grava in prima battuta sull’intermediario, che se ne libera solo provando il dolo o la colpa grave dell’utente. Ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010, la prova dell’avvenuta autenticazione e della formale regolarità dell’operazione non esaurisce l’onere probatorio del prestatore di servizi di pagamento: occorre indicare gli elementi di fatto dalle modalità esecutive dei quali desumere in via presuntiva la colpa grave. La produzione dei tracciati informatici che attestano l’uso dei fattori di autenticazione, unita alle ammissioni confessorie del cliente, è idonea a dimostrare il corretto svolgimento della autenticazione forte. Integra colpa grave, e preclude il rimborso, la condotta dell’utente che intrattenga una conversazione con un sedicente operatore contattatolo da utenza non riconducibile all’intermediario e gli comunichi tutte le credenziali di accesso e i codici OTP generati dall’app.

Il Fatto

Il ricorrente, titolare di un conto corrente intestato a una ditta individuale e abilitato all’operatività on line, disconosce due bonifici istantanei eseguiti il 26.06.2025 per un importo complessivo di € 19.100,00 (nel prosieguo della decisione quantificato in € 19.900,00). Il giorno stesso riceve un messaggio apparentemente proveniente dall’istituto che gestisce le carte, recante la segnalazione di un addebito anomalo e l’invito a contattare un numero per disconoscerlo. Il ricorrente risponde alla telefonata di un falso operatore e, per ottenere il rimborso, gli comunica le credenziali di accesso all’app di home banking e i codici OTP generati tramite QR Code ricevuti su un’app di messaggistica. Riceve dall’intermediario due alert e-mail di conferma degli ordini, poi denuncia la truffa.

L’intermediario si oppone: nega intrusioni nei propri sistemi, rileva la pluralità di indici di anomalia del messaggio civetta e del numero chiamante, estranei ai propri contatti, e deduce la colpa grave esclusiva del cliente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, e il Regolamento delegato (UE) n. 2018/389 sui requisiti dell’autenticazione forte. Il rischio dell’uso illecito dello strumento di pagamento ricade in prima battuta sull’intermediario, tenuto a garantire l’affidabilità e la sicurezza del servizio; questi può sottrarsi al rimborso provando il dolo o la colpa grave dell’utilizzatore, ai sensi degli artt. 7, 10 e 12, comma 4, d.lgs. n. 11/2010.

Sul piano probatorio, la banca produce tre file di log informatici attestanti i fattori di autenticazione e autorizzazione delle operazioni. Il Collegio riconosce che i file sono privi di legende esplicative, ma ritiene le allegazioni dell’intermediario corroborate dalle dichiarazioni rese dal ricorrente in sede di denuncia: l’ammissione di aver comunicato credenziali e codici dinamici e di aver ricevuto gli alert e-mail. Tali dichiarazioni assumono valore di prova legale ai sensi dell’art. 2730 c.c., cosicché il corretto svolgimento della procedura di autenticazione, in assenza di malfunzionamenti, risulta formalmente dimostrato.

Il Collegio richiama quindi il principio secondo cui la prova dell’autenticazione e della formale regolarità dell’operazione non soddisfa di per sé l’onere di dimostrare la frode, il dolo o la colpa grave: l’intermediario deve indicare gli elementi di fatto dai quali desumere in via presuntiva la colpa grave (ABF Coll. Coord. n. 22745/2019).

Sotto questo profilo la convenuta osserva, senza smentita, che tanto il mittente del messaggio civetta quanto quello della conversazione su app di messaggistica non sono riconducibili ai propri contatti, e che il messaggio fraudolento non si è inserito in un canale recante precedenti comunicazioni genuine. Da ciò il Collegio trae duplice conseguenza: esclude un legittimo affidamento dell’utente sull’apparente genuinità dell’interlocuzione e ravvisa una condotta gravemente negligente del correntista.

Il ricorrente ha infatti intrattenuto la conversazione con un sedicente operatore chiamante da un’utenza non riconducibile al prestatore e ha dato seguito alle istruzioni, comunicando tutti i codici segreti in suo possesso. Ciò ha disatteso l’obbligo di diligente custodia e non divulgazione delle credenziali posto dall’art. 7, d.lgs. n. 11/2010, neutralizzando i presidi di sicurezza dell’intermediario. La domanda di rimborso è pertanto rigettata.