Colpa grave del correntista e phishing comportano rimborso parziale (ABF Collegio di Milano n. 2138 del 10.03.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite personalmente dal titolare della carta, ancorché indotte da un raggiro, non rientrano nell’ambito di applicazione della disciplina delle operazioni di pagamento non autorizzate di cui al D.lgs. n. 11/2010, con conseguente esclusione dell’obbligo di rimborso integrale a carico dell’intermediario. La condotta del correntista che autorizzi plurime transazioni sulla base di istruzioni impartite da un sedicente operatore è connotata da colpa grave. Tuttavia, quando l’intermediario ometta di attivare un efficiente sistema di monitoraggio idoneo a intercettare gli indici di anomalia previsti dal D.M. 112/2007, sussiste un concorso di colpa ai sensi dell’art. 1227 c.c., che giustifica il rimborso parziale delle somme addebitate.

Il Fatto

La parte ricorrente, navigando su un portale dedicato a opportunità lavorative, tentava di associare la propria carta di pagamento per ricevere l’accredito di emolumenti. Durante l’autorizzazione comparivano problemi tecnici e una falsa assistenza via chat la invitava a contattare un numero telefonico. Un sedicente operatore le richiedeva di autorizzare alcuni pagamenti per verificare la validità dello strumento, assicurando lo storno degli importi entro un’ora.

Le somme non venivano riaccreditate e il contatto si interrompeva. La parte ricorrente lamentava quattro addebiti per complessivi € 3.150,00 e presentava reclamo, ricevendone diniego. L’intermediario eccepiva che si trattava di phishing o money muling, con esecuzione personale delle operazioni e regolare autenticazione, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio rileva che le operazioni contestate non rientrano nell’ambito della disciplina di cui al D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. n. 218/17 in attuazione della direttiva PSD2. La parte ricorrente ha dichiarato di aver eseguito personalmente le transazioni nel tentativo di inserire i dati della carta per ricevere futuri compensi.

Per scrupolo, il Collegio verifica comunque i LOG prodotti: tutte le operazioni risultano correttamente autenticate con doppio fattore. Per l’operazione da € 300,00 vi è invio OTP su dispositivo e inserimento password; per le altre tre, notifica push e biometria.

Il Collegio esamina quindi la colpa grave del correntista e l’eventuale concorso di colpa dell’intermediario. Ritiene la condotta della parte ricorrente connotata da colpa grave, essendo presenti agli atti gli alert inviati per ogni singola operazione.

Tuttavia, sulla base delle evidenze, sussistono gli indici di anomalia di cui all’art. 8, lett. a, punto 2, D.M. 112/2007: tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo punto vendita. In poco più di un’ora sono state eseguite quattro operazioni, di cui tre presso il medesimo esercente. Tale circostanza è idonea a configurare un rischio di frode che un efficiente sistema di monitoraggio avrebbe potuto intercettare, predisponendo blocchi automatici in presenza di comportamenti non fisiologici (cfr. Collegio di Roma, decisioni n. 1189/2024 e n. 15895/2019).

Ravvisato il concorso di colpa ai sensi dell’art. 1227 c.c., il Collegio accoglie parzialmente il ricorso e dispone il rimborso di € 1.980,00, relativo alle ultime due operazioni integranti l’indice di anomalia. L’intermediario è inoltre tenuto a corrispondere € 200,00 alla Banca d’Italia e € 20,00 alla parte ricorrente per il rimborso del contributo di presentazione.