Phishing e colpa grave del cliente (ABF Collegio di Torino n. 4424 del 15.05.2026)

Principi di diritto (Massima)
In tema di operazioni di bonifico disconosciute dal cliente a seguito di phishing, l’intermediario che documenti il regolare funzionamento di un sistema di autenticazione forte basato su fattori di conoscenza e di possesso, con tracciamento delle singole fasi di certificazione del dispositivo e di SCA, adempie all’onere probatorio su di lui gravante. La condotta del cliente che inserisca le proprie credenziali su un collegamento ricevuto via posta elettronica, privo di riferimenti all’intermediario e con evidenti indici di anomalia, senza attivare alcuna verifica nei canali ufficiali, integra colpa grave. Questa valutazione è assorbente degli altri profili di fatto e giustifica il rigetto della domanda di rimborso, anche a prescindere dalla prova dei messaggi di alert e degli indici di rischio frode.

Il Fatto

La ricorrente chiede il rimborso di € 29.821,69, corrispondenti a dieci bonifici istantanei disposti tra il 6 e l’8 novembre 2025 e tutti disconosciuti. Espone di aver ricevuto una mail che, per un presunto aggiornamento dei sistemi, la invitava ad aggiornare le credenziali di accesso attraverso un link, nel quale le inseriva. Il sito e l’applicazione segnalavano un blocco di 48 ore; solo il 10 novembre, non riuscendo più ad accedere, scopriva la frode.

L’intermediario, costituitosi, ricostruisce nel dettaglio il flusso tecnico: accesso da dispositivo non certificato, certificazione del nuovo device mediante OTP inviato via SMS al numero della cliente, nuova autenticazione e completamento della SCA. Sostiene che la ricorrente abbia comunicato ai terzi le proprie credenziali e chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla verifica documentale delle operazioni. L’intermediario ha provato, minuto per minuto, l’inserimento di username e password, la rilevazione del dispositivo non corrispondente, l’invio dell’OTP alle 17:27:44, la certificazione del nuovo device e il successivo completamento del flusso SCA con PIN e notifica push. Lo stesso schema si è ripetuto per i bonifici successivi, eseguiti previo login sul portale web e autenticazione a due fattori.

Si tratta di un sistema che l’Arbitro aveva già esaminato con esito positivo, richiamandosi il Collegio di Bari, 17 settembre 2025, n. 8276. Accertata la correttezza dei presidi di sicurezza, la questione si sposta sulla valutazione della condotta delle parti per apprezzare la colpa nella causazione dell’evento.

La ricorrente non ha compiutamente allegato le circostanze della frode, che il Collegio riconduce a un fenomeno di phishing. Il messaggio civetta, allegato dalla stessa cliente, conteneva incongruenze evidenti, tra cui l’uso della seconda e della terza persona singolare e l’assenza, nell’indirizzo del mittente, di qualsiasi riferimento alla denominazione dell’intermediario. La ricorrente ha poi omesso ogni verifica nei canali ufficiali durante le 48 ore di presunto blocco, senza allarmarsi per l’anomalia della situazione.

Il Collegio richiama la propria costante impostazione, secondo cui la diffusione del phishing è tale che l’impiego di una media diligenza è sufficiente a scongiurare il pericolo (v. Collegio di Torino, decisione n. 5143/2022). Nel caso concreto la mancanza di cautela è evidente e va valutata in termini di colpa grave, con effetto assorbente sugli altri profili di fatto.

Quanto alla condotta dell’intermediario, la mancata documentazione dei messaggi di alert e la ricorrenza degli indici di rischio frode di cui all’art. 8 del d.m. 112/2007 non integrano di per sé una fattispecie di responsabilità (così anche Tribunale di Milano n. 1596/2023), ma vanno valutate con giudizio sintetico insieme agli altri elementi. La mancata ricezione degli alert risulta comunque assorbita dall’invio documentato dell’SMS con il codice di validazione del nuovo dispositivo, circostanza idonea a mettere sull’avviso un utente professionista quale la ricorrente. Il ricorso è pertanto non accolto.