Phishing bancario: colpa grave del cliente che comunica OTP e password e non prova la telefonata (ABF Collegio di Bologna n. 1134 del 09.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’art. 10 del d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata. Tuttavia, quando l’utilizzatore ammette di avere comunicato a terzi i fattori di autenticazione ricevuti, la produzione documentale dei log non è sufficiente a fondare la responsabilità dell’intermediario. La mancata allegazione del messaggio civetta o del tracciato delle telefonate ricevute impedisce di verificare la riconducibilità del mittente all’intermediario e dunque il legittimo affidamento dell’utente. Ne consegue che la comunicazione dei codici OTP e della password statica, senza attenzione alla descrizione delle operazioni da autorizzare, integra la colpa grave dell’utilizzatore, con rigetto della domanda di rimborso.

Il Fatto

La ricorrente riferisce di avere ricevuto nel maggio 2025 una chiamata da un’utenza riferibile all’intermediario: un sedicente addetto, con il pretesto di alcune operazioni anomale sulla carta di credito, la invitava a comunicare il codice OTP pervenuto via SMS e il codice segreto “K*”. Recatasi in filiale, apprendeva che erano state eseguite operazioni non autorizzate e comprendeva di essere stata vittima di una truffa. Esperito infruttuosamente il reclamo, si rivolgeva all’ABF chiedendo la restituzione di 3.990 euro.

L’intermediario eccepiva che per l’autorizzazione erano stati utilizzati il fattore di possesso (OTP inviato al numero certificato) e il fattore di conoscenza (password statica nota solo alla cliente), con conseguente consenso validamente prestato o, quantomeno, imputabilità delle operazioni alla ricorrente. In via subordinata invocava la concorrenza di responsabilità ex art. 1127 cod. civ. e, in estremo subordine, l’applicazione della franchigia di 50 euro ex art. 12, comma 3, del d.lgs. n. 11/2010.

La motivazione del Collegio

Il Collegio chiarisce anzitutto il quadro normativo: le operazioni ricadono sotto il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Sul piano fattuale, sebbene la ricorrente parli di “bonifici”, la documentazione in atti dimostra che si tratta di acquisti e-commerce eseguiti con la carta di credito, senza che risultino evidenze di blocco della carta.

Il Collegio richiama quindi l’art. 10 del d.lgs. n. 11/2010, che addossa all’intermediario l’onere di provare autenticazione, corretta registrazione e contabilizzazione delle operazioni. Viene però citata la decisione n. 8671/2024 del Collegio di Coordinamento: quando le operazioni sono asseritamente disposte e autenticate dal ricorrente, manca il requisito della mancanza del consenso ex art. 5 d.lgs. n. 11/2010 e non opera il relativo regime di tutela.

Il passaggio centrale riguarda la prova della colpa grave. Il Collegio richiama la decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la produzione documentale sull’autenticazione e la formale regolarità dell’operazione non soddisfa di per sé l’onere probatorio: l’intermediario deve indicare specificamente gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave dell’utente. Nel caso concreto la resistente desume la condotta gravemente colposa dalla narrativa della denuncia e dalle evidenze documentali.

Due gli argomenti decisivi. In primo luogo, la ricorrente non deposita il tracciato telefonico dal quale evincere la chiamata ricevuta: secondo l’orientamento condiviso dei Collegi, richiamato con la decisione n. 11920 del 26.8.2022 del Collegio di Bologna, la mancata allegazione del messaggio civetta o delle telefonate impedisce di verificare la riconducibilità del mittente all’intermediario e il legittimo affidamento dell’utente. In secondo luogo, la cliente ammette di avere inserito i codici autorizzativi senza prestare attenzione alla chiara descrizione delle operazioni contenuta negli SMS, che riportavano importo, orario ed esercente.

Il Collegio esclude la rilevanza degli indicatori di anomalia ex d.m. del 2007 e dei sistemi di alert, proprio perché i messaggi contenevano già i dati delle operazioni da autorizzare. In linea con gli orientamenti dei Collegi territoriali su casi comparabili (Collegio di Torino n. 3516/2023; Collegio di Milano n. 4567/2022), conclude per la sussistenza della colpa grave e non accoglie il ricorso.