Phishing e operazioni disposte dalla vittima: nessun rimborso all’utilizzatore (ABF Collegio di Milano n. 8285 del 14.09.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite personalmente dall’utilizzatore dei servizi di pagamento, ancorché sulla base di un consenso viziato dal raggiro subito a opera di un terzo, non costituiscono operazioni non autorizzate ai sensi dell’art. 10 D. Lgs. n. 11/2010, ma rientrano tra quelle autorizzate. In tali casi l’intermediario è esonerato dalla prova dell’autenticazione forte a due fattori (SCA) e non è configurabile a suo carico alcuna responsabilità oggettiva, non sussistendo i presupposti della PSD II per il rimborso. Resta ferma una responsabilità concorrente del prestatore secondo le norme di diritto comune, configurabile solo quando dalla documentazione emerga un suo apporto causale alla frode.

Il Fatto

La ricorrente denuncia una frode informatica riconducibile al fenomeno del smishing, seguito da telefonate truffaldine (vishing). Contattata da un sedicente operatore dell’ufficio antifrode, esegue personalmente presso uno sportello dell’intermediario due bonifici istantanei della carta prepagata, per complessivi € 7.600,00, nella convinzione di restituire pagamenti erroneamente accreditati sul proprio conto.

Disconosciuto l’addebito, chiede il rimborso della somma, imputando all’intermediario di non avere impedito la violazione del proprio sistema informatico. L’intermediario resiste, deducendo la regolare esecuzione delle operazioni, tutte volontariamente disposte dalla cliente, e la colpa grave di questa, oltre allo svolgimento di campagne informative contro le frodi.

La Motivazione della Corte

Il Collegio individua la questione nella rimborsabilità delle somme sottratte mediante operazioni disconosciute, precisando che i due bonifici sono stati disposti direttamente dalla cliente allo sportello, alle ore 17:53 e alle ore 18:25 del 2 marzo 2026. Alla data delle operazioni era vigente il D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD II).

Il thema probandum comprende due profili: l’accertamento della regolare esecuzione tramite Strong Customer Authentication e quello dell’eventuale colpa grave dell’utilizzatore. Restano invece sottratte all’obbligo di prova di SCA le attività prodromiche di trasferimento fondi dal libretto di risparmio alla carta prepagata, eseguite tra le 17:01 e le 18:37, in quanto strumentali alla costituzione della provvista, secondo il precedente del Collegio di Coordinamento, Decisione n. 8671/2024.

Nel merito, non è contestato che la ricorrente abbia dato seguito alle indicazioni telefoniche del truffatore, eseguendo personalmente i bonifici. Tale condotta, seppure in buona fede, integra un’operazione autorizzata: il consenso viziato dal raggiro non la converte in operazione non autorizzata ex art. 10 D. Lgs. n. 11/2010, come affermato dai Collegi territoriali (Collegio di Milano, Decisioni n. 2419/2025, n. 432/2023 e n. 12726/2022; Collegio di Roma, Decisione n. 8538/2021). Ne segue l’esonero dell’intermediario dalla prova di autenticazione e l’esclusione di una responsabilità oggettiva.

Il Collegio non esclude una responsabilità concorrente di diritto comune, purché emerga un apporto causale dell’intermediario: mancata disponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, mancato rilievo di indici di frode (Collegio di Milano, decisione n. 9261/2025). Nel caso concreto tali ipotesi non ricorrono: è stato l’ufficio antifrode dell’intermediario a informare la cliente e a bloccare la carta. Le operazioni non presentano carattere anomalo né integrano gli indici di frode del D.M. 112/2007; l’unico obbligo dell’intermediario resta quello di eseguire gli ordini autorizzati dall’utilizzatore.

Il ricorso è pertanto rigettato, non sussistendo alcuna responsabilità concorrente dell’intermediario (Collegio di Milano, Decisioni n. 2890/2025 e n. 12409/2023).