Phishing e pagamenti autorizzati: colpa grave del cliente e concorso dell’intermediario (ABF Collegio di Milano n. 2145 del 10.03.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, sono autorizzate e restano fuori dall’ambito di applicazione della disciplina sulle operazioni non autorizzate di cui al d.lgs. n. 11/2010 e alla direttiva PSD2, anche quando siano state indotte da un raggiro. La condotta del cliente che si lasci guidare telefonicamente dal truffatore integra però colpa grave. Se l’intermediario non intercetta gli indici di anomalia previsti dal D.M. 112/2007, segnatamente la pluralità di richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso il medesimo esercente, si configura un concorso di colpa ai sensi dell’art. 1227 c.c., con ripartizione delle conseguenze dannose in ragione delle rispettive responsabilità.

Il Fatto

Il ricorrente riferisce di aver subito il disconoscimento di cinque operazioni fraudolente eseguite con carta il 04/11/2025, per un ammontare complessivo di € 9.950,00, in favore di siti di giochi e scommesse. L’origine della vicenda è un SMS apparentemente riconducibile all’intermediario, che invitava a contattare un numero di assistenza: nel corso della chiamata un sedicente operatore induceva il cliente a fornire i dati della carta e a seguire istruzioni, rendendo l’inganno più convincente con ulteriori messaggi provenienti da canali apparentemente ufficiali.

Compresa la truffa, il ricorrente bloccava la carta e presentava denuncia. L’intermediario negava il rimborso sostenendo la validità tecnica delle transazioni. Nel procedimento davanti all’Arbitro l’intermediario non depositava le controdeduzioni nel termine perentorio, adducendo successive problematiche tecniche di recapito via PEC, senza però presentare istanza di rimessione in termini.

La motivazione del Collegio

Il Collegio ricostruisce le modalità delle cinque operazioni, eseguite tra le ore 12:01 e le ore 12:34: tre presso il medesimo esercente, rispettivamente di € 2.490,00, € 2.490,00 e € 990,00, e due da € 1.990,00 ciascuna presso un altro esercente. Dalle dichiarazioni rese in sede di denuncia emerge che tutte le disposizioni sono state eseguite direttamente dal ricorrente, che ha personalmente impartito i pagamenti lasciandosi guidare dal truffatore con cui era in costante contatto telefonico.

Da questa premessa discende il primo passaggio giuridico: le operazioni non rientrano nell’ambito della disciplina del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/17 in attuazione della direttiva 2015/2366/EU, perché è pacifico che le transazioni sono state eseguite dal pagatore. Secondo l’orientamento dei Collegi richiamato nella decisione, quando l’operazione è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, la stessa deve considerarsi autorizzata: non viene in rilievo il regime di responsabilità per le operazioni non autorizzate e non occorre esaminare il sistema di autenticazione forte dell’intermediario.

Il Collegio verifica allora la sussistenza di colpa grave del ricorrente e di un eventuale concorso di colpa dell’intermediario. La condotta di chi esegue pedissequamente le istruzioni telefoniche del truffatore è connotata da colpa grave. Le evidenze in atti mostrano però anche un indice di anomalia e rischio frode previsto dal D.M. 112/2007: tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita, ai sensi dell’art. 8, lett. a, punto 2. Nel caso concreto cinque operazioni sulla stessa carta in poco più di mezz’ora, di cui tre presso il medesimo esercente.

Tale circostanza è idonea a configurare un rischio di frode che un efficiente sistema di monitoraggio avrebbe potuto intercettare, predisponendo blocchi automatici in presenza di comportamenti non in linea con un’operatività fisiologica; il Collegio richiama sul punto le decisioni del Collegio di Roma n. 1189/2024 e n. 15895/2019. Ravvisato quindi un concorso di colpa ai sensi dell’art. 1227 c.c., il ricorso è accolto solo parzialmente: il rimborso è limitato a € 990,00, importo della terza operazione eseguita presso il medesimo esercente e integrante l’indice di anomalia, con maggiorazione degli interessi legali dal reclamo al saldo. L’intermediario è inoltre tenuto al contributo di € 200,00 alle spese della procedura e al rimborso di € 20,00 versato per la presentazione del ricorso.