Phishing con conferma push e biometria: nessun rimborso per colpa grave dell’utente (ABF Collegio di Bologna n. 1518 del 19.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, l’intermediario che provi l’autenticazione forte del pagamento — mediante possesso del dispositivo e riconoscimento biometrico collegati all’utenza del cliente — non è tenuto al rimborso, salvo che ricorrano gli indicatori di anomalia previsti dall’art. 8 del D.M. n. 112/2007. La conferma da parte dell’utente di una notifica push ricevuta in un contesto di frode integra colpa grave del cliente, che è vittima di una truffa non particolarmente insidiosa e superabile con la diligenza media. Il carattere generico della domanda non determina inammissibilità del ricorso, ma incide soltanto sul piano della prova della condotta del ricorrente. Il ricorso proposto prima dei sessanta giorni dal reclamo è ammissibile quando l’intermediario abbia già espresso volontà negativa sulla richiesta.

Il Fatto

Il ricorrente ha disconosciuto un’operazione sulla propria carta di pagamento dell’importo di 999 euro, sostenendo la clonazione della stessa. Ha riferito di aver ricevuto una notifica push, di averla confermata ritenendola legittima e di aver poi scoperto il tentativo fraudolento. Ha aggiunto che un secondo movimento, poco dopo, è stato bloccato dal sistema come anomalo. Dopo il reclamo ha proposto ricorso all’Arbitro, chiedendo il rimborso integrale o parziale e addebitando alla banca di non aver riconosciuto il primo tentativo di frode.

L’intermediario ha eccepito l’inammissibilità del ricorso per genericità della domanda e per il mancato decorso dei sessanta giorni tra reclamo e ricorso. Nel merito ha sostenuto che l’operazione è stata correttamente autenticata e che tutti i presidi di sicurezza sono stati adottati.

La motivazione del Collegio

Il Collegio respinge le eccezioni preliminari. Quanto alla genericità, osserva che la mancata circostanziarizzazione delle modalità della frode non determina inammissibilità, ma viene valutata sul piano della prova della condotta del ricorrente. Quanto al termine dei sessanta giorni, richiama il Collegio di Coordinamento n. 15400/2021, secondo cui deve essere fatta salva l’ipotesi del ricorso presentato prima della scadenza ma dopo la replica negativa dell’intermediario.

Nel caso concreto, il ricorso risulta depositato il 22.10.2025 e la documentazione prodotta in repliche evidenzia interlocuzioni anteriori, con un modulo di disconoscimento e due riscontri negativi della banca. Il Collegio richiama una propria precedente decisione in casi analoghi e respinge l’eccezione.

Nel merito il ricorso non è accolto. La fattispecie è ricondotta al D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD 2. Dalla documentazione emerge che il pagamento è stato disposto con autenticazione forte: notifica push in app collegata all’utenza con userid del ricorrente, con mobile token abilitato da novembre 2024, e riconoscimento biometrico. Lo stesso ricorrente ammette di aver confermato la notifica.

Il Collegio esclude altresì il rischio di frode ai sensi dell’art. 8 del D.M. n. 112/2007, non risultando raggiunto alcuno dei parametri ivi previsti. Non è quindi ravvisabile una responsabilità concorrente dell’intermediario.

Viene invece affermata la colpa grave del ricorrente, vittima di una truffa con modalità non particolarmente insidiose, scongiurabile con la diligenza media, secondo il richiamo alla precedente ABF Bologna n. 14643/2019. La condotta dell’intermediario è immune da negligenza e il fatto colposo del cliente è assorbente. Il ricorso è quindi respinto.