Phishing e colpa grave del cliente nell’utilizzo fraudolento della carta di debito (ABF Collegio di Milano n. 2456 del 18.03.2026)

Principi di diritto (Massima)
Nelle controversie relative a operazioni di pagamento disconosciute, qualora l’operazione risulti autorizzata mediante autenticazione forte (SCA) correttamente registrata e contabilizzata, l’onere di provare il malfunzionamento o la compromissione dei sistemi grava sul cliente. In presenza di una truffa riconducibile al phishing, la condotta del titolare che inserisca le proprie credenziali e autorizzi il pagamento sul sito contraffatto è generalmente connotata da colpa grave, poiché l’impiego di una media diligenza sarebbe sufficiente a impedire la frode. Ne consegue il rigetto della domanda di rimborso avanzata dal cliente.

Il Fatto

La ricorrente, il 28.09.2025, intendeva effettuare una ricarica telefonica di € 20,00 accedendo a quello che appariva il sito del proprio operatore. Durante la procedura notava una difformità: il pagamento era richiesto tramite inserimento dei dati della carta, a differenza delle operazioni pregresse. Proseguiva comunque, inserendo i dati e confermando l’operazione tramite l’app della banca.

Subito dopo riceveva una notifica di esecuzione di un pagamento di € 390,33 in favore di un soggetto sconosciuto. Bloccava la carta, sporto denuncia e disconosciuto l’operazione. La banca respingeva la richiesta di rimborso, ritenendo l’operazione correttamente autorizzata. La cliente adiva quindi l’Arbitro Bancario Finanziario domandando il rimborso integrale, oltre interessi e spese.

La motivazione del Collegio

Il Collegio esamina anzitutto il profilo dell’autenticazione forte. Dai log informatici prodotti dall’intermediario risulta che l’autenticazione è avvenuta tramite mobile token del PSP sullo smartphone, sbloccato con codice PIN, generando un codice che integra i due fattori della SCA congiunti (conoscenza del PIN e possesso dello smartphone). La ricorrente stessa, in sede di denuncia, ammette di avere inserito i dati richiesti nell’app della banca.

Il Collegio qualifica quindi la fattispecie. La ricorrente non produce documentazione relativa al sito clone, ma dalla sua stessa ricostruzione può escludersi che la truffa abbia assunto i caratteri dello spoofing, trattandosi invece di una variante di phishing. Richiamando l’orientamento consolidato dei Collegi ABF, il Collegio ricorda che simili truffe seguono uno schema tipico e noto, volto a indurre il titolare a comunicare o inserire le proprie credenziali su piattaforme informatiche, adducendo falsamente esigenze di verifica o sicurezza.

In questi casi, secondo l’orientamento richiamato, la condotta del cliente è generalmente connotata da colpa grave, poiché l’impiego di una media diligenza sarebbe sufficiente a impedire la frode. La diffusione del fenomeno rende esigibile dal titolare una particolare attenzione, soprattutto quando emergono anomalie nella procedura di pagamento.

Alla luce di tali rilievi il Collegio ritiene che la condotta della ricorrente integri colpa grave e non accolga il ricorso, ponendo a carico della cliente le conseguenze dell’operazione disconosciuta.