Colpa grave del cliente esclude rimborso per phishing senza messaggio civetta allegato (ABF Collegio di Napoli n. 3742 del 27.04.2026)

Principi di diritto (Massima)
Quando l’utente neghi di aver autorizzato un’operazione di pagamento, l’utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione, né la frode o la colpa grave dell’utente. Il prestatore di servizi di pagamento deve documentare le modalità esecutive dell’operazione e provare, anche in via presuntiva, il dolo o la colpa grave del cliente. In presenza di phishing, vishing o smishing, con numeri e messaggi non riconducibili all’intermediario, il cliente che non alleghi il messaggio civetta non consente di verificare la genuinità del messaggio e la sua condotta integra colpa grave, con rigetto del ricorso.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario, riceveva un sms che la avvisava di un pagamento di euro 1.275,00 a favore di un sito di prenotazioni viaggi e indicava un numero da contattare in caso di disconoscimento. Non avendo disposto l’operazione, contattava quel numero e un operatore la rassicurava sul blocco del pagamento. Recatasi poi in filiale, apprendeva che era stato eseguito un bonifico di euro 1.690,00 a favore di una persona ignota.

Dopo il reclamo, riscontrato negativamente, la ricorrente proponeva ricorso all’Arbitro chiedendo il rimborso della somma addebitata e il risarcimento del danno. L’intermediario eccepiva la ricostruzione approssimativa dei fatti, l’assenza di evidenze dell’sms e l’estraneità dei numeri telefonici indicati nella denuncia, chiedendo il rigetto.

La motivazione del Collegio

Il Collegio inquadra l’operazione nel D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della PSD2, e richiama gli artt. 97 e 98 PSD2, l’art. 10-bis del D.lgs. 10/2011 e il Regolamento Delegato UE 2018/389. La responsabilità del prestatore è esclusa quando questi provi l’uso di meccanismi di autenticazione forte e la condotta dolosa o gravemente colposa dell’utente. L’autenticazione forte si basa su due o più elementi indipendenti, riconducibili a conoscenza, possesso e inerenza.

Il Collegio precisa che la registrazione dello strumento di pagamento non basta a dimostrare l’autorizzazione dell’operazione. Grava sul prestatore l’onere di provare la frode, il dolo o la colpa grave, con elementi di fatto sulle modalità esecutive, anche in via presuntiva, secondo il richiamo al Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019 e all’art. 10 del D.lgs. n. 11/2010.

Il Collegio distingue quindi lo spoofing, con contraffazione dell’identità di provenienza di sms e chiamate, dal semplice phishing/vishing/smishing, in cui i numeri e i messaggi non sono riconducibili all’intermediario e il cliente è vittima di una colpevole credulità (richiamato il Collegio di Coordinamento n. 3498/2012). In questa seconda ipotesi la mancata allegazione del messaggio civetta determina il rigetto, perché impedisce di verificare il mittente e l’affidamento dell’utente.

Nel caso concreto risultano attestati l’enrollment regolare della carta nel maggio 2023, mai modificato, e l’operazione eseguita dopo accesso web con user-id e convalida mediante push notification sul dispositivo con inserimento del PIN dispositivo. La ricorrente non ha però prodotto alcuna evidenza dell’sms, e il numero contattato non è riconducibile all’intermediario. Il Collegio esclude rilievo all’assenza di sms alert, trattandosi di operazione unica, e rileva che il risarcimento del danno è privo di prova dell’an e del quantum.

Ne consegue, per il Collegio, una condotta gravemente colposa della ricorrente, rimasta vittima di una truffa evidente, senza che sia possibile valutare il livello di insidiosità né profili di colpa concorrente dell’intermediario. Il ricorso è dunque non accolto.