Phishing e operazioni sotto dettatura: la disposizione impartita dal cliente è autorizzata (ABF Collegio di Roma n. 4741 del 26.05.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente l’operazione, inserendo la disposizione di pagamento e tutti i fattori di autenticazione, l’operazione deve considerarsi autorizzata e non rientra nel regime di responsabilità previsto dagli artt. 10 ss. d.lgs. n. 11/2010 per gli utilizzi fraudolenti. Rientrano in questa fattispecie le operazioni eseguite seguendo le indicazioni del frodatore, senza la consapevolezza di disporre una transazione, come le c.d. operazioni sotto dettatura. In tali casi non è configurabile una responsabilità oggettiva del PSP, salvo che dalla documentazione emerga un concreto apporto dell’intermediario alla frode. Il ricorso è pertanto respinto in applicazione del principio di irrevocabilità degli ordini di pagamento.

Il Fatto

La ricorrente aveva pubblicato su un noto sito web un annuncio di vendita di un cellulare. Un presunto acquirente le inviò una e-mail contenente un link: secondo il truffatore, era necessario seguirlo per “confermare” la carta di debito eseguendo un pagamento di 499,00 €, con la rassicurazione della successiva restituzione. La ricorrente seguì le indicazioni, convinta di dover semplicemente verificare lo strumento di pagamento.

Resasi conto della truffa, contattò l’intermediario e disconobbe l’operazione, lamentando anche che la banca l’avesse contabilizzata nonostante l’avviso intervenuto prima della contabilizzazione. L’intermediario eccepì che il pagamento era stato eseguito in prima persona dalla cliente, con autenticazione tramite FACE ID e smartphone, e chiese il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. Il pagamento è stato eseguito sotto la vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della Direttiva 2015/2366/UE (PSD 2), e dopo l’entrata in vigore del Regolamento Delegato (UE) n. 2018/389.

Il punto decisivo è che l’operazione è stata dichiaratamente eseguita in prima persona dalla ricorrente, la quale ha inserito i dati della carta e completato l’autenticazione nella convinzione di “confermare” lo strumento di pagamento. Il Collegio richiama il recente orientamento condiviso tra i Collegi: quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e sottratta al regime di responsabilità della PSD 2. Vi rientrano le operazioni eseguite seguendo le indicazioni del frodatore, comprese le c.d. operazioni sotto dettatura.

Ne consegue l’esclusione di una responsabilità oggettiva del PSP. Il Collegio ammette la possibilità di ravvisare una responsabilità concorrente dell’intermediario, secondo le norme di diritto comune, solo quando dalla documentazione emerga in concreto un suo apporto alla frode. Nel caso di specie un tale apporto non è emerso: la truffa è partita da una semplice e-mail, non prodotta dalla ricorrente, e non da un’ipotesi di spoofing. Il Collegio richiama la propria decisione n. 6816 del 14/07/2025.

Assorbita la questione dell’autenticazione forte, il Collegio osserva comunque che l’operazione è stata autenticata mediante FACE ID, elemento di inerenza, e smartphone, elemento di possesso, come risulta dal log prodotto dall’intermediario.

Quanto alla dedotta illegittimità della contabilizzazione successiva all’avviso, il Collegio accoglie la precisazione dell’intermediario: il pagamento online non è annullabile e incide immediatamente sul saldo disponibile, mentre la contabilizzazione è un’attività tecnica automatica che riguarda il solo saldo contabile. Il denaro viene prelevato con l’esecuzione del pagamento, non con la contabilizzazione.

Il ricorso è quindi respinto: la disposizione è riconducibile esclusivamente a una condotta gravemente negligente del ricorrente, mentre nessun addebito è ascrivibile all’intermediario, rimasto estraneo alle modalità della truffa.