Phishing bancario e prova della colpa grave dell’utente (ABF Collegio di Bologna n. 2520 del 18.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, spetta al prestatore di servizi di pagamento, ai sensi dell’art. 10, primo comma, d.lgs. n. 11/2010, provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti o altri inconvenienti. Superata questa prova, l’intermediario deve comunque dimostrare la frode, il dolo o la colpa grave dell’utente, indicando specificamente gli elementi di fatto delle modalità esecutive dell’operazione dai quali desumerla in via presuntiva. La riconoscibilità dello schema truffaldino e la semplicità delle istruzioni del frodatore integrano tale colpa grave, con conseguente rigetto della richiesta di rimborso.

Il Fatto

Il ricorrente, titolare di un conto corrente con carta di debito, riceveva un messaggio inviatogli da un intermediario diverso da quello presso cui aveva aperto il rapporto. Il messaggio lo informava di un preteso pagamento sulla carta e lo poneva in contatto con un sedicente operatore dell’intermediario, che lo induceva a disinstallare l’app della banca e a comunicare generalità, codice fiscale, codici di accesso e domanda di sicurezza.

Il giorno successivo il cliente si rendeva conto della truffa. Contestava quindi l’addebito, lamentando anche l’assenza di un alert sulla modifica delle credenziali di accesso. Esperito senza esito il reclamo, adiva l’Arbitro Bancario Finanziario chiedendo il rimborso totale o parziale. L’intermediario si costituiva eccependo la ricostruzione dei fatti difforme dalla denuncia, la negligenza grave del cliente e la corretta autenticazione dell’operazione.

La motivazione del Collegio

Il Collegio rileva che l’operazione è stata eseguita sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e che la fattispecie ripropone un’esperienza già esaminata dai Collegi territoriali e dal Collegio di Coordinamento. La questione si articola in due profili, dei quali il primo è assorbente: occorre stabilire se l’intermediario abbia assolto all’onere probatorio posto dall’art. 10, primo comma, d.lgs. n. 11/2010.

Il Collegio sottolinea che la norma realizza un’inversione dell’onere della prova a carico del prestatore di servizi di pagamento, il quale deve anzitutto dimostrare la correttezza formale di ogni operazione contestata per andare indenne da colpa e sottrarsi alla condanna alla restituzione. Si tratta di una allocazione tendenziale del rischio a carico della parte contrattualmente più forte.

Richiamando l’orientamento del Collegio di Coordinamento, dec. 22745/2019, il Collegio precisa che la produzione documentale volta a provare l’autenticazione e la formale regolarità dell’operazione non soddisfa da sola l’onere probatorio. È necessario che l’intermediario indichi specificamente gli elementi di fatto che caratterizzano le modalità esecutive dell’operazione, dai quali possa trarsi la prova presuntiva della colpa grave dell’utente. L’obbligo dell’intermediario si configura così come un dovere rafforzato di diligenza professionale, coerente con l’analoga logica dell’art. 62, secondo comma, d.lgs. n. 206/2005.

Nel merito, il Collegio verifica la documentazione prodotta anche in sede di integrazione istruttoria. Non emergono anomalie nella procedura di autenticazione: per l’accesso all’home banking sono stati impiegati password e OTP, per l’esecuzione dell’operazione fattore biometrico/PIN e notifica push. La procedura di autenticazione rinforzata risulta rispettata.

Il Collegio valuta quindi gli elementi di fatto della frode. Il messaggio proveniva da un intermediario diverso da quello del conto, circostanza che doveva apparire fortemente anomala; conteneva scorrettezze grammaticali e rinviava a un link non riferibile all’intermediario. Le istruzioni del truffatore, disinstallazione dell’app e comunicazione a terzi dei dati personali inclusa la domanda di sicurezza, corrispondevano a uno schema truffaldino noto e non particolarmente sofisticato, riconoscibile da un utente di media diligenza. Sussiste dunque la colpa grave del cliente e il ricorso va rigettato.