Phishing con cessione codici OTP: colpa grave utente e legittimazione collocatore (ABF Collegio di Bari n. 1389 del 17.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite a seguito di phishing, il prestatore di servizi di pagamento è tenuto a provare non solo la corretta autenticazione forte delle transazioni, ma anche gli elementi di fatto dai quali desumere, in via presuntiva, il dolo o la colpa grave dell’utente. La produzione dei log e delle notifiche di conferma non esaurisce, da sola, l’onere probatorio. Tuttavia, ove l’utente abbia comunicato i codici OTP a un interlocutore sconosciuto e non riconducibile al prestatore, la sua condotta integra colpa grave ai sensi dell’art. 7 d.lgs. n. 11/2010 e legittima il rigetto della domanda di rimborso. Sul piano processuale, il collocatore dello strumento di pagamento che abbia riscontrato il reclamo nel merito senza eccepire il proprio difetto di legittimazione non può invocarlo successivamente, in forza del principio nemo contra factum proprium venire potest.

Il Fatto

Il ricorrente, titolare di una carta di debito, chiede il rimborso del controvalore di cinque operazioni di pagamento eseguite a distanza su un sito di commercio elettronico l’11 aprile 2025, per un importo complessivo di euro 1.379,34 al netto degli storni già riconosciuti. Egli riferisce di aver ricevuto un sms apparentemente riconducibile a un intermediario diverso dal resistente, che segnalava l’imminente blocco della carta, e di aver inserito le proprie credenziali nella schermata raggiunta tramite il link contenuto nel messaggio.

Contattato telefonicamente da un sedicente agente della Polizia Postale, il ricorrente seguiva le istruzioni ricevute e comunicava i codici OTP, ritenendo di bloccare un’operazione fraudolenta. Dopo aver disposto il blocco dello strumento e sporto denuncia, chiedeva il rimborso, ottenendo riscontro negativo. L’intermediario convenuto, qualificatosi come IMEL, eccepiva in via preliminare il proprio difetto di legittimazione passiva, assumendo di non essere né emittente né collocatore della carta.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione preliminare. Secondo l’orientamento condiviso dei Collegi, in caso di domanda di rimborso per uso fraudolento dello strumento di pagamento sussiste la legittimazione passiva dell’intermediario collocatore, onerato della prova sulla corretta autenticazione delle transazioni. Fa eccezione l’ipotesi del mero collocatore, che va accertata sulla base della documentazione in atti.

Nel caso concreto manca la convenzione tra l’IMEL e la banca asseritamente emittente. Il foglio informativo indica il dispositivo come emesso dalla banca in collaborazione con la convenuta, gestore e titolare della licenza del circuito. Soprattutto, l’IMEL non ha mai eccepito il difetto di legittimazione nell’interlocuzione preliminare e ha fornito riscontro nel merito. Tale comportamento concludente ha ingenerato l’affidamento del ricorrente, in applicazione del principio nemo contra factum proprium venire potest, espressione del generale principio di buona fede.

Passando al merito, il Collegio richiama il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 218/2017, e il Regolamento Delegato (UE) n. 2018/389. L’art. 10 pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata e correttamente registrata, nonché la frode, il dolo o la colpa grave dell’utente. La documentazione prodotta dimostra l’autenticazione in regime di Strong Customer Authentication: uso del codice statico e validazione mediante OTP SMS e notifiche in app.

Tuttavia, la produzione documentale sull’autenticazione non esaurisce l’onere probatorio: occorre indicare gli elementi di fatto delle modalità esecutive da cui trarre la prova presuntiva della colpa grave. Il Collegio rileva che il numero del mittente dell’sms civetta non era riconducibile al resistente e il link non recava riferimenti al prestatore. Il ricorrente ha invece intrattenuto una conversazione con un sedicente agente, comunicando i codici OTP. Nei casi di phishing tradizionale l’assenza di cautela è difficilmente scusabile, trattandosi di fenomeni diffusamente noti.

Il comportamento del ricorrente ha disatteso l’obbligo di diligente custodia delle credenziali posto dall’art. 7 d.lgs. n. 11/2010, neutralizzando i presidi di sicurezza. Non rileva il dedotto malfunzionamento del servizio di home banking dell’emittente, poiché le operazioni sono state autorizzate tramite l’app della convenuta. Quanto al monitoraggio antifrode, l’intermediario ha sospeso l’operatività della carta alle ore 19:17:49 e risulta un’operazione inibita automaticamente alle ore 19:14, oltre allo storno delle successive. Il ricorso non è pertanto accolto.