Phishing e bonifico disposto dal cliente: nessun rimborso né responsabilità dell’intermediario (ABF Collegio di Milano n. 8318 del 15.09.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite personalmente dall’utilizzatore dei servizi di pagamento, ancorché sulla base di un consenso viziato dal raggiro subito a opera di terzi ignoti, non costituiscono operazioni non autorizzate ai sensi dell’art. 10 D. Lgs. n. 11/2010, ma rientrano tra le operazioni autorizzate. Ne consegue che l’intermediario è esonerato dalla prova di autenticazione dell’operazione e non è configurabile a suo carico alcuna responsabilità oggettiva, non sussistendo i presupposti della PSD II per il rimborso. Resta ferma la possibilità di ravvisare una responsabilità concorrente del prestatore di servizi di pagamento secondo le norme di diritto comune, purché dalla documentazione emerga un apporto causale dell’intermediario alla frode, nei casi di mancata disponibilità del numero verde, di mancata identificazione del tentativo di frode in corso ovvero di mancato rilievo di indici di frode.

Il Fatto

La ricorrente denuncia di essere stata vittima di una frode informatica realizzata mediante smishing e successive telefonate truffaldine (vishing). Seguendo le indicazioni ricevute telefonicamente da un sedicente funzionario dell’ufficio antifrodi di un intermediario terzo, la cliente disponeva personalmente, presso la filiale della banca convenuta, un bonifico ordinario di € 14.900,00, nella convinzione di mettere in salvo i propri risparmi.

Disconoscendo l’addebito, la cliente chiedeva il rimborso di € 14.907,25, comprensivo della commissione, oltre interessi legali e spese. L’intermediario eccepiva la regolare esecuzione dell’operazione, la condotta gravemente imprudente della cliente e di avere esperito senza esito un tentativo di recall del bonifico. Chiedeva quindi il rigetto del ricorso.

La Motivazione della Corte

Il Collegio individua la questione nella rimborsabilità della somma sottratta mediante un’operazione disconosciuta, da valutare alla luce del D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Il thema probandum riguarda tanto l’accertamento della regolare autenticazione ed esecuzione dell’operazione quanto l’eventuale colpa grave dell’utilizzatore.

Dalla documentazione emerge che la ricorrente ha personalmente eseguito l’ordine sulla base delle istruzioni del truffatore, mai qualificatosi come operatore dell’intermediario resistente. In casi analoghi i Collegi territoriali hanno statuito, in modo assorbente, che le operazioni compiute dall’utilizzatore con consenso viziato dal raggiro non sono non autorizzate ex art. 10 D. Lgs. n. 11/2010, ma vanno inquadrate tra quelle autorizzate (Collegio di Milano, decisioni n. 2419/2025, n. 432/2023 e n. 12726/2022; Collegio di Roma, decisione n. 8538/2021). L’intermediario è quindi esonerato dalla prova di autenticazione e non risponde a titolo oggettivo (Collegio di Milano, decisioni n. 638/2025, n. 13472/2023 e n. 15827/2022; Collegio di Bari, decisione n. 6757/2025).

Il Collegio non esclude una responsabilità concorrente del prestatore secondo il diritto comune, quando emerga un apporto causale alla frode: mancata disponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente cui il pagatore si sia rivolto, mancato rilievo di indici di frode (Collegio di Milano, decisione n. 9261/2025). Nel caso concreto nessuna di tali ipotesi è integrata. La ricorrente non ha dimostrato che l’operazione fosse estranea alla propria normale operatività, considerata anche la causale del bonifico, né ha offerto evidenze sul proprio comportamento durante l’interazione con il cassiere. Non è inoltre chiaro se la chiamata in corso fosse percepibile dal personale di filiale.

L’intermediario ha documentato l’invio della richiesta di recall pochi minuti dopo il pagamento, rimasta senza esito. Secondo la consolidata giurisprudenza dell’Arbitro, l’unico obbligo gravante sull’intermediario è quello di eseguire gli ordini di pagamento autorizzati dall’utilizzatore, con responsabilità limitata all’inadempimento o all’inesatto adempimento di tale obbligo (Collegio di Milano, decisioni n. 6732/2025, n. 14351/2022 e n. 24573/2019; Collegio di Coordinamento, decisioni n. 1260/2014 e n. 1259/2014). Il ricorso è pertanto rigettato.