Phishing e pagamenti online: concorso di colpa tra utente e intermediario (ABF Collegio di Bologna n. 905 del 03.02.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che dimostri l’avvenuta autenticazione delle operazioni ex art. 10, primo comma, d.lgs. n. 11/2010 non è per ciò solo liberato da responsabilità. Ai fini dell’esonero occorre la prova della colpa grave dell’utilizzatore, che non può trarsi dalla sola regolarità formale delle operazioni. Quando l’utente, vittima di phishing, abbia consegnato i codici di sicurezza al truffatore, il suo comportamento integra colpa grave. Tuttavia, se l’intermediario omette le misure di sicurezza tecniche rispetto a operazioni oggettivamente anomale, riconducibili al rischio di frode tipizzato, si configura un concorso di colpa con riduzione equitativa del rimborso.

Il Fatto

Il ricorrente chiedeva all’Arbitro il rimborso delle somme addebitate per otto pagamenti e-commerce eseguiti con la propria carta. Esponeva di aver ricevuto un SMS apparentemente proveniente dall’intermediario, che segnalava il blocco della carta, e di aver cliccato su un link fornendo i propri dati a un sedicente operatore. Accortosi della truffa, bloccava la carta e presentava denuncia.

L’intermediario resisteva sostenendo che le operazioni erano state correttamente autenticate in modalità multifattoriale (SCA), che i truffatori avevano aggirato l’enrollment grazie alla partecipazione del cliente e che la carta era stata bloccata solo il giorno successivo. Il ricorrente replicava che l’intermediario aveva ammesso l’associazione della carta su un nuovo dispositivo e invocava l’art. 8 d.lgs. n. 11/2010 in tema di misure di sicurezza.

La motivazione del Collegio

Il Collegio ha anzitutto verificato l’autenticazione. Dalla documentazione informatica risultava che sia l’enrollment della carta su altro dispositivo, sia i pagamenti, erano stati autenticati con doppio fattore: codice OTP inviato via SMS sul numero certificato e codice di sicurezza “P***” attivato tramite notifica push. L’intermediario ha dunque assolto all’onere probatorio ex art. 10, primo comma, d.lgs. n. 11/2010.

Il passaggio successivo riguarda la colpa dell’utente. Richiamando la decisione n. 22745/19 del Collegio di Coordinamento, il Collegio ricorda che la prova dell’autenticazione non esaurisce l’onere del PSP, che deve indicare elementi di fatto dai quali desumere in via presuntiva la colpa grave. Nel caso concreto il ricorrente aveva comunicato al truffatore i codici ricevuti via SMS, consentendo l’enrollment su un dispositivo estraneo e l’esecuzione delle operazioni. Gli SMS fraudolenti provenivano da utenze private non riconducibili all’intermediario.

Il Collegio non si è fermato qui. Ha rilevato che l’intermediario non aveva adottato le misure tecniche necessarie a impedire operazioni oggettivamente anomale: otto pagamenti in rapida sequenza, dalla 19:13 alle 20:20 del medesimo giorno, sulla stessa carta e presso lo stesso sito e-commerce. Tali operazioni rientrano nel rischio di frode tipizzato dall’art. 8, lett. a) n. 2, D.M. n. 112/2007, che contempla tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso il medesimo punto vendita.

Da qui la conclusione: sussiste un concorso di colpa delle parti. Il Collegio ha accolto parzialmente il ricorso, accertando il diritto al rimborso di Euro 1.500,00 oltre interessi legali dalla data del reclamo, con condanna dell’intermediario al contributo di Euro 200,00 per le spese della procedura e al rimborso di Euro 20,00 in favore del ricorrente.