Phishing e comunicazione volontaria delle credenziali: nessuna responsabilità dell’intermediario (ABF Collegio di Bologna n. 1304 del 13.02.2026)

Principi di diritto (Massima)
Nei casi di phishing tradizionale l’attenzione ordinariamente esigibile in capo al titolare dello strumento di pagamento è idonea a prevenire la frode. La comunicazione volontaria a terzi delle credenziali personalizzate integra un comportamento censurabile ai sensi dell’art. 12, comma 4, del d.lgs. n. 11/2010, perché l’utilizzatore è tenuto a non inserire le proprie credenziali al di fuori dei canali ufficiali dell’intermediario. Ove l’intermediario provi l’avvenuta autenticazione, registrazione e contabilizzazione delle operazioni secondo l’art. 10 del d.lgs. n. 11/2010, e le stesse risultino autorizzate mediante Strong Customer Authentication, deve escludersi ogni suo profilo di responsabilità. La mancata ricezione degli SMS alert non assume rilievo decisivo in presenza di un numero limitato di operazioni, in un arco temporale contenuto e in un contesto già compromesso dalla previa certificazione del dispositivo fraudolento.

Il Fatto

Il ricorrente, dopo aver ricevuto nel tempo alcuni SMS relativi a transazioni ritenute sospette, aveva più volte richiesto il blocco della carta e, da ultimo, l’annullamento dello strumento, registrando poi una nuova carta di credito. Il 5 giugno 2025 riceveva una comunicazione e-mail graficamente analoga a quelle dell’intermediario, ma recante un dominio “.org” anziché “.it”, con la quale veniva invitato ad aggiornare il limite di spesa della carta. Ritenendola autentica, forniva le informazioni richieste.

Nella stessa data veniva eseguita un’operazione di pagamento e-commerce di € 746,00, seguita l’8 giugno 2025 da una seconda operazione di € 316,99 a favore del medesimo esercente. Preso cognizione degli addebiti il 9 giugno 2025, il ricorrente chiedeva il blocco del rapporto e disconosceva le operazioni. L’intermediario, dopo un iniziale riaccredito, riaddebitava le somme e chiedeva la denuncia all’Autorità giudiziaria, presentata il 3 luglio 2025. Il ricorrente deduceva la mancata ricezione degli SMS di notifica per operazioni superiori a € 250, l’eccessiva semplicità delle procedure di associazione di un nuovo dispositivo e un comportamento contraddittorio dell’intermediario. Quest’ultimo contestava la domanda, sostenendo che le operazioni erano state regolarmente autorizzate mediante Strong Customer Authentication, resa possibile dalla condotta gravemente negligente del ricorrente.

La motivazione del Collegio

Il Collegio colloca le operazioni contestate sotto il vigore del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218, di recepimento della direttiva (UE) 2015/2366 (PSD2). Rileva anzitutto che l’intermediario ha fornito idonea prova dell’avvenuta autenticazione, registrazione e contabilizzazione delle operazioni disconosciute, in conformità all’art. 10 del d.lgs. n. 11/2010.

Dalla documentazione in atti risulta che l’enrollment dell’applicazione su un nuovo dispositivo è avvenuto mediante inserimento delle credenziali di accesso e tramite codici OTP inviati via SMS e via e-mail, con successiva abilitazione della modalità di autenticazione biometrica. Le operazioni sono state quindi autorizzate mediante riconoscimento biometrico su dispositivo abilitato, secondo modalità conformi ai requisiti della Strong Customer Authentication.

Quanto alla condotta del ricorrente, il Collegio osserva che la comunicazione e-mail cui egli ha risposto presentava evidenti profili di anomalia: l’utilizzo di un mittente estraneo all’intermediario e la presenza di una dicitura testuale errata. Tali elementi avrebbero dovuto indurre il destinatario ad adottare un comportamento improntato a prudente verifica, evitando l’inserimento di credenziali e codici dispositivi al di fuori dei canali ufficiali. Secondo il consolidato orientamento dei Collegi ABF, richiamato nel provvedimento, nei casi di phishing tradizionale l’attenzione ordinariamente esigibile è idonea a prevenire la frode; la comunicazione volontaria a terzi delle credenziali personalizzate integra pertanto un comportamento censurabile ai sensi dell’art. 12, comma 4, del d.lgs. n. 11/2010 (cfr. Collegio di Bologna n. 14643/2019).

Sulla dedotta mancata ricezione degli SMS alert, il ricorrente non ha prodotto documentazione contrattuale idonea a dimostrare il contenuto specifico del servizio. In ogni caso, secondo i principi affermati dal Collegio di Coordinamento (decisione n. 8853/2019), la mancata ricezione degli alert non assume rilievo decisivo in presenza di un numero limitato di operazioni, in un arco temporale contenuto e in un contesto già compromesso dalla previa certificazione del dispositivo fraudolento.

Alla luce di quanto precede, il Collegio esclude ogni profilo di responsabilità in capo all’intermediario e non accoglie il ricorso.