Phishing e colpa grave dell’utente: rimborso solo per l’ultima operazione distanziata (ABF Collegio di Bari n. 1628 del 23.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite tramite home banking, il prestatore di servizi di pagamento assolve l’onere probatorio di cui all’art. 10 d.lgs. n. 11/2010 dimostrando che l’operazione è stata autenticata in regime di autenticazione forte (SCA) e correttamente registrata. La sola regolarità formale non basta però a provare il dolo o la colpa grave dell’utente. Questa va desunta da circostanze di fatto che evidenzino la sua condotta imprudente. Integra colpa grave la condotta dell’utente che, vittima di phishing tradizionale tramite sms da utenza non riconducibile alla banca e numero verde non ufficiale, consegni i codici dispositivo ai truffatori. Tuttavia, l’intermediario che non provi l’attivazione del servizio di sms alert viola gli obblighi di protezione e risponde del pregiudizio che l’alert avrebbe consentito di limitare, con riferimento alle operazioni temporalmente distanziate da quelle precedenti.

Il Fatto

Il ricorrente, titolare di un conto corrente abilitato all’operatività on line, chiede il rimborso di € 6.990,00 corrispondenti a quattro operazioni disconosciute, eseguite il 30/08/2024: due prelievi cardless da ATM e due bonifici istantanei. Espone di aver ricevuto un sms da utenza mobile sconosciuta, con invito a contattare un presunto numero verde, e di aver seguito le indicazioni dell’interlocutore, inserendo più volte il codice OTP ricevuto. Solo recandosi in filiale scopre la frode. Sporta denuncia e presentato reclamo, ottiene riscontro negativo e si rivolge all’Arbitro, invocando la responsabilità dell’intermediario per non aver adottato gli accorgimenti imposti dalla disciplina sull’autenticazione forte.

L’intermediario si oppone: dai tracciati informatici le operazioni risultano autorizzate previo accesso dal device certificato del cliente, con PIN e OTP generato da app. Deduce la colpa grave del cliente ex art. 7, comma 2, d.lgs. n. 11/2010 e, in subordine, chiede la ripartizione del danno con applicazione della franchigia di € 50,00.

La motivazione del Collegio

Il Collegio muove dal quadro normativo del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 in attuazione della PSD2, e dal Regolamento Delegato (UE) n. 2018/389. Il rischio di utilizzazione illecita grava in prima battuta sull’intermediario, che può sottrarsi al rimborso solo provando dolo o colpa grave dell’utente. L’art. 10 del decreto pone a carico del prestatore la prova che l’operazione è stata autenticata, registrata e contabilizzata; l’uso dello strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione.

Nel caso concreto l’intermediario documenta un’autenticazione multifattoriale completa: accesso dal device certificato (fattore di possesso) con PIN (fattore di conoscenza) e validazione di OTP generato da app per ciascuna transazione. Il Collegio ritiene pertanto assolto l’onere probatorio sulla regolarità formale delle operazioni, richiamando ABF Coll. Bologna n. 206/2025 e Coll. Bari n. 5831/2023.

La formale regolarità non esaurisce però la verifica. Occorre che l’intermediario indichi le circostanze di fatto da cui desumere, in via presuntiva, la colpa grave dell’utente (ABF Coll. Coord. nn. 22745/2019, 3947/2014, 3498/2012, 991/2014; Cass. civ. n. 2950/2017 e n. 9158/2018). Il ricorrente non ha prodotto l’sms civetta, ma ha dichiarato in denuncia e nel ricorso di averlo ricevuto da utenza non riconducibile alla banca, con invito a contattare un numero verde parimenti non ufficiale. Si tratta di phishing tradizionale: l’assenza di cautela è difficilmente scusabile per un utente avvezzo all’home banking (ABF Coll. Coord. nn. 1820/2013, 3498/2012). La condotta integra colpa grave ex artt. 7, comma 1, lett. a), e 12, comma 4.

Resta il profilo degli obblighi di protezione dell’intermediario. Il dovere di tempestiva segnalazione dell’utente ex art. 7, lett. b) è correlato all’obbligo di rendere disponibili strumenti adeguati ex art. 8, lett. c). Tra questi rientra il servizio di sms alert, da cui l’intermediario può esonerarsi solo provando l’esplicito rifiuto dell’utente (ABF Coll. Coord. n. 24366/2019; n. 8672/2024). Le quattro operazioni si sono succedute alle ore 18:03, 18:04, 18:09 e 18:12. Le prime tre, eseguite in sei minuti, sarebbero state inevitabili anche con l’alert attivo. L’ultima di € 1.990,00, alle ore 18:12, è invece temporalmente distanziata: l’alert avrebbe consentito al ricorrente di avere contezza immediata dei movimenti e di attenuare il pregiudizio (ABF Coll. Bari nn. 416/2024, 10735/2023; Coll. Napoli n. 8838/2022).

Il Collegio accoglie quindi in parte il ricorso e condanna l’intermediario alla restituzione di € 1.990,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 delle spese di presentazione.