Phishing e mancata produzione della chiamata civetta: il ricorso va rigettato (ABF Collegio di Milano n. 962 del 04.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute per asserito phishing, la mancata allegazione da parte del cliente del messaggio civetta o della chiamata civetta determina il rigetto del ricorso. Tale prova è necessaria per verificare se il mittente sia riconducibile all’intermediario e se sia configurabile un legittimo affidamento dell’utente sulla genuinità della comunicazione. Ove le operazioni risultino autenticate con Strong Customer Authentication e correttamente registrate, l’onere di dimostrare l’indebito utilizzo ricade sul cliente. In difetto di prova contraria, la condotta del cliente che comunichi i codici OTP a terzi integra un profilo di colpa grave rilevante ai fini del riparto della perdita.

Il Fatto

La ricorrente riferisce di aver ricevuto, il 09.09.2025, una telefonata da un sedicente operatore dell’intermediario che la informava di una presunta clonazione della carta di credito. Indotta con l’inganno a comunicare i codici di sicurezza ricevuti via SMS, la cliente subiva quattro operazioni per complessivi € 4.811,73, come da ricorso, mentre reclamo e repliche ne dettagliano cinque per il medesimo importo. Interrotta la comunicazione, contattava il servizio clienti per disconoscere le operazioni, bloccava la carta e presentava denuncia il 10.09.2025, oltre a reclamo riscontrato negativamente.

La ricorrente domanda il rimborso di € 4.811,73, oltre interessi legali e spese. L’intermediario eccepisce l’irricevibilità del ricorso, la corretta autenticazione in modalità 3D Secure e la colpa grave della cliente, che avrebbe comunicato più codici OTP senza prestare attenzione alle avvertenze contenute negli SMS; in via subordinata invoca la riduzione ex art. 1227, comma 1, c.c.

La motivazione del Collegio

Il Collegio esamina la disciplina applicabile ratione temporis, individuata nel D.lgs. n. 11/2010 come modificato dal D.lgs. n. 218/2017 di attuazione della direttiva PSD II. Sul piano fattuale, rileva la discrasia tra il numero di operazioni indicate nel ricorso e quelle dettagliate negli atti successivi, ma il totale richiesto a rimborso coincide con le operazioni effettivamente contestate.

Quanto all’autenticazione forte, dall’esame dei log informatici prodotti dall’intermediario emerge che le operazioni sono state autenticate tramite sistema 3DS, con CAVV popolato e autenticazione andata a buon fine. Il primo fattore di autenticazione (possesso) è costituito dal codice OTP ricevuto via SMS sul numero confermato in sede di denuncia; il secondo fattore (conoscenza) dal codice segreto creato dalla cliente e risultato attivo.

Il Collegio passa quindi all’esame della condotta delle parti e dei profili di colpa. La cliente afferma di aver ricevuto una chiamata da un numero non riconducibile all’intermediario e di aver confermato le operazioni al sedicente operatore. Tuttavia, la ricorrente non produce alcuna evidenza della chiamata ricevuta.

Su questo punto il Collegio richiama l’orientamento dei Collegi ABF secondo cui la mancata allegazione del messaggio civetta, o della chiamata civetta, determina il rigetto del ricorso: senza tale prova non è possibile verificare se il mittente sia riconducibile all’intermediario né se sia configurabile un legittimo affidamento dell’utente sulla genuinità della comunicazione.

Alla luce di tali rilievi, e in presenza di operazioni correttamente autenticate e registrate, il Collegio non accoglie il ricorso.