Phishing e bonifico disposto dal cliente operazione autorizzata nessuna responsabilità banca (ABF Collegio di Milano n. 3300 del 15.04.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta personalmente dal cliente, con inserimento della disposizione e di tutti i fattori di autenticazione, è autorizzata ai sensi dell’art. 5 del D. lgs. n. 11/2010, letto congiuntamente ai successivi artt. 9 e 10, anche quando il consenso è viziato dal dolo del frodatore. L’intermediario non ha alcuna possibilità di avvedersi della truffa e non opera quindi il regime di responsabilità per le operazioni non autorizzate di cui alla direttiva 2015/2366/EU (PSD2). Resta ferma la possibilità di individuare profili di responsabilità dell’intermediario sul versante degli obblighi di protezione del bonus argentarius, che tuttavia non ricorrono quando la segnalazione della frode e la richiesta di blocco siano state avanzate solo il giorno successivo all’ordine di bonifico. Spetta al ricorrente la prova del fatto costitutivo del proprio diritto ai sensi dell’art. 2697 c.c.

Il Fatto

Il ricorrente dichiara di essere caduto vittima di phishing a seguito di un sms civetta e di una successiva telefonata con un sedicente operatore del servizio clienti della banca, che lo informava di una frode in corso. In preda all’agitazione, veniva indotto a liquidare i propri investimenti, a modificare PIN e codice carta e a disporre un bonifico in uscita di € 2.790,00, oltre a otto pagamenti online con carta.

Avvedutosi dell’inganno, il cliente presentava denuncia e chiedeva all’intermediario l’annullamento dei bonifici, senza ottenere riscontro se non tramite risposte automatiche sull’app. Chiede quindi la restituzione delle somme sottratte e il risarcimento del danno non patrimoniale pari al 10% degli importi. L’intermediario non ha depositato controdeduzioni nel termine perentorio.

La motivazione del Collegio

Il Collegio muove dalla dislocazione dell’onere probatorio. Il cliente fornisce evidenza contabile del solo bonifico e non delle altre otto operazioni con carta: in assenza di prova, la domanda relativa a queste ultime non può che essere rigettata in applicazione dell’art. 2697 c.c.

Quanto al bonifico, è pacifico — alla luce delle dichiarazioni confessorie rese in denuncia — che sia stato eseguito direttamente dal cliente, il quale, cadendo vittima del raggiro, ha personalmente disposto il pagamento seguendo le istruzioni del frodatore. Secondo l’interpretazione consolidata dei Collegi territoriali (Coll. Milano nn. 8007/2020, 19945/2021, 11546/2019; Coll. Roma n. 4658/2021), l’operazione eseguita per intero dal pagatore deve considerarsi autorizzata: l’intermediario non poteva che ritenerla tale, non avendo alcuna possibilità di avvedersi della truffa.

Il Collegio non esclude che, tenuto conto delle concrete modalità della truffa, possano individuarsi altri profili di responsabilità dell’intermediario sul versante degli obblighi di protezione del bonus argentarius. Il cliente lamenta la mancata attivazione del blocco dei pagamenti e il riscontro solo automatico tramite app. La valutazione va però limitata al solo bonifico, in quanto le operazioni con carta sarebbero state immediatamente eseguite.

Il Collegio richiama quindi gli artt. 15 e 17 del D. lgs. n. 11/2010 su ricezione, esecuzione e revoca degli ordini di pagamento. Non essendo in atti il contratto quadro, non è possibile conoscere le pattuizioni su modi e tempi di revoca né l’orario di cut-off applicato. Il bonifico risulta disposto in data 02.10.2025, in orario pomeridiano, con segnalazione della frode e richiesta di blocco solo il giorno successivo; la chat prodotta è priva di data. La condotta dell’intermediario si sottrae pertanto a censure di illiceità e, assorbite le ulteriori domande, il ricorso è rigettato.