La colpa grave del cliente esclude il rimborso per phishing e OTP (ABF Collegio di Bologna n. 1149 del 09.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento effettuate a distanza mediante carta, l’art. 10 del d.lgs. n. 11/2010 pone a carico dell’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione, nonché della colpa grave dell’utilizzatore. La produzione dei log informatici che attestano l’autenticazione a doppio fattore SCA, con elemento di possesso (OTP ricevuto sul device associato) ed elemento di conoscenza (codice segreto statico), soddisfa l’onere probatorio sull’autenticazione. Quando il cliente ammette di aver personalmente inserito i codici autorizzativi su un portale fraudolento, senza prestare attenzione alla descrizione dell’operazione contenuta nel messaggio, la sua condotta integra la colpa grave e giustifica il rigetto della domanda di rimborso. La mancata allegazione dell’SMS civetta impedisce inoltre di verificare la riconducibilità del mittente all’intermediario e l’affidamento dell’utente.

Il Fatto

Il ricorrente, titolare di una carta di credito, riceveva sul cellulare un SMS che segnalava la mancata consegna di un pacco per un’informazione assente sull’indirizzo. Selezionando il link, accedeva a un portale graficamente simile a quello dell’intermediario e, dopo aver inserito il dato richiesto, gli veniva chiesto il pagamento di euro 0,27 per sbloccare la consegna. La transazione apparentemente non andava a buon fine; l’utente inseriva allora due codici autorizzativi notificati sul proprio smartphone e solo dopo si accorgeva di aver autorizzato due pagamenti di euro 408,27 e 409,31, per un totale di euro 817,58.

Bloccata la carta e sporta denuncia, il ricorrente chiedeva il rimborso all’intermediario, che lo negava. Proponeva quindi ricorso all’ABF chiedendo la rifusione integrale dell’ammanco. L’intermediario eccepiva l’inapplicabilità della disciplina di tutela, l’avvenuta autenticazione con doppio fattore SCA e la colpa grave del cliente, chiedendo in via subordinata di tener conto del concorso colposo.

La motivazione del Collegio

Il Collegio richiama anzitutto il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2), applicabile alle operazioni contestate. Ribadisce il principio dell’art. 10: è onere dell’intermediario provare che le operazioni siano state autenticate, correttamente registrate e contabilizzate; in mancanza, il prestatore sopporta integralmente le conseguenze delle operazioni disconosciute.

L’intermediario sosteneva l’inapplicabilità della disciplina per difetto del requisito della mancanza di consenso, essendo le operazioni disposte direttamente dal cliente. Il Collegio osserva però che il ricorrente ammette l’esecuzione diretta di una sola delle due operazioni. Richiama quindi l’orientamento del sistema ABF che distingue tra operazioni eseguite per intero dal pagatore e operazioni autorizzate con intervento parziale del medesimo: in quest’ultimo caso la normativa speciale, prescindendo dalla nozione civilistica di consenso, impone di verificare comunque la prova della Strong Customer Authentication.

Dalla documentazione prodotta il Collegio ritiene provata la SCA su entrambe le transazioni: l’elemento di possesso, dato dall’OTP ricevuto via SMS sul numero del ricorrente, e l’elemento di conoscenza, costituito dal codice segreto personale. Sul punto richiama la decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la prova dell’autenticazione non esaurisce l’onere dell’intermediario, che deve indicare gli elementi di fatto da cui desumere in via presuntiva la colpa grave dell’utente.

Il Collegio ritiene che tale prova sussista. Il cliente ha inserito personalmente i codici OTP su un sito truffaldino, convinto di autorizzare un pagamento di importo e finalità diversi, senza prestare attenzione alla descrizione delle operazioni contenuta nei messaggi. A ciò si aggiunge la mancata produzione dell’SMS civetta, che non consente di verificare la riconducibilità del mittente all’intermediario e l’affidamento dell’utente (richiamata la decisione del Collegio di Bologna n. 11920 del 26.8.2022). Su casi comparabili il Collegio cita le decisioni del Collegio di Torino n. 3516/2023 e del Collegio di Milano n. 4567/2022.

Irrilevanti restano gli indicatori di anomalia e i sistemi di alert. Il ricorso è pertanto respinto.