Phishing e colpa grave del cliente escludono rimborso per operazioni autorizzate (ABF Collegio di Roma n. 1051 del 05.02.2026)

Principi di diritto (Massima)
Nei servizi di pagamento disciplinati dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, l’intermediario che provi l’adozione di un sistema di autenticazione rinforzata e il corretto funzionamento della procedura dispositiva non risponde delle operazioni eseguite a seguito di phishing. Il cliente che abbia inserito le proprie credenziali e il codice OTP su un sito raggiunto tramite link contenuto in una e-mail non riconducibile all’intermediario versa in colpa grave. A essa si aggiunge la colpevole credulità di fronte a forme di captazione ormai note al navigatore non esperto e la scarsa attenzione prestata agli avvisi inviati sul cellulare certificato.

Il Fatto

Il ricorrente, cointestatario di un conto corrente abilitato al servizio di home banking, riceveva una e-mail apparentemente riferibile all’intermediario. Il messaggio lo invitava a verificare il funzionamento delle carte tramite un link. Seguendo le istruzioni, il cliente inseriva i propri pin su un sito diverso da quello della banca. Poco dopo riceveva i messaggi relativi a due addebiti non autorizzati, uno sulla carta di credito e uno sulla carta di debito, per complessivi euro 451,90 ed euro 450,00.

Il cliente contattava il numero verde, sporgeva denuncia e disconosceva formalmente le operazioni, con esito negativo. Chiedeva quindi il rimborso delle somme sottratte. L’intermediario si opponeva, ricostruendo la sequenza degli accessi e invocando in subordine la ripartizione della colpa ex art. 1227, commi 1 e 2, c.c., con riconoscimento della franchigia di euro 50,00.

La motivazione del Collegio

Il Collegio muove dai criteri del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, per stabilire quali responsabilità siano ascrivibili alle parti. Le operazioni contestate risultano eseguite tramite i servizi dispositivi associati al rapporto di conto corrente di cui il proponente è cointestatario.

L’intermediario ha documentato la procedura di enrollment del nuovo dispositivo e l’autorizzazione delle operazioni, producendo i relativi log con esito positivo della digitazione dei codici. Per l’accesso ai servizi online sono richiesti il codice titolare, il codice PIN e il codice O-Key; per le disposizioni serve un ulteriore codice dinamico OTP. Il Collegio ne traeva, in linea con il Collegio di Roma n. 8530/2021, che il sistema di autenticazione adottato garantisce un elevato livello di sicurezza. Non emergevano, nella documentazione, indizi di malfunzionamento del sistema dell’intermediario.

Accertato che il cliente ha dato seguito a una comunicazione e-mail contenente un link, il Collegio ha qualificato l’intrusione come conseguenza non già di un’insufficiente protezione informatica del servizio, bensì di colpa grave del cliente, caduto in un caso di phishing e autore dell’utilizzo abusivo delle proprie credenziali (cfr. Collegio di Roma n. 16837/2021).

A ciò si aggiunge, in linea con la decisione n. 3498/2012 del Collegio di Coordinamento, la colpevole credulità del proponente rispetto a forme di captazione ormai note anche al navigatore non esperto. Il Collegio ha inoltre rilevato la scarsa attenzione verso gli avvisi pervenuti sul cellulare certificato, comprese le notifiche inviate al momento dell’attivazione del nuovo mobile token (cfr. Collegio di Roma n. 16564/2021).

Alla luce di questi elementi il ricorso è stato respinto, restando esclusa la restituzione delle somme addebitate.