Phishing con pagamento eseguito dal cliente: operazione autorizzata e nessun rimborso (ABF Collegio di Milano n. 3213 del 10.04.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente e per intero la disposizione di pagamento, inserendo tutti i fattori di autenticazione, l’operazione è autorizzata anche se indotta da un raggiro di terzi. Non trova quindi applicazione la disciplina sulle operazioni di pagamento non autorizzate di cui al d.lgs. n. 11/2010 e alla direttiva 2015/2366/UE (PSD2), né occorre esaminare il sistema di autenticazione forte dell’intermediario. Esclusa la tutela speciale dell’art. 10, d.lgs. n. 11/2010, resta la verifica di un apporto causale dell’intermediario alla frode secondo il diritto comune, nei casi di mancata disponibilità del numero verde, di mancato riconoscimento del tentativo di frode da parte del dipendente o di mancato rilievo di indici di frode. L’onere di provare tali fattori grava sul ricorrente.

Il Fatto

Il ricorrente prenota un soggiorno presso un hotel di Ayas tramite il sito ufficiale, versando la caparra. Alcuni mesi dopo, indotto in errore da un’e-mail apparentemente proveniente dalla struttura alberghiera, versa il saldo di € 2.151,00. Poco dopo l’hotel allerta i clienti di una truffa informatica in corso.

Il ricorrente contatta subito l’intermediario per bloccare l’operazione, all’epoca solo autorizzata e non ancora contabilizzata, e riceve il suggerimento di attendere la contabilizzazione per procedere al disconoscimento. Presentata l’istanza, l’intermediario nega il rimborso ritenendo l’operazione validamente autorizzata. Il ricorrente chiede l’integrale restituzione della somma; l’intermediario eccepisce che i pagamenti sono stati eseguiti seguendo le istruzioni dei truffatori, senza verifica sulla provenienza dell’e-mail, e invoca la colpa grave del cliente.

La motivazione del Collegio

Il Collegio individua la questione nella qualificazione dell’operazione. È pacifico che la transazione è stata eseguita direttamente e interamente dal ricorrente, che ha inserito la disposizione di pagamento e tutti i fattori di autenticazione. La condotta è quindi riconducibile a un raggiro perpetrato da un terzo, ma l’operazione resta autorizzata.

Da qui la prima conseguenza: non viene in rilievo il regime di responsabilità per le operazioni non autorizzate previsto dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/17 in attuazione della PSD2. Il Collegio non procede perciò all’esame del sistema di autenticazione forte dell’intermediario, cioè della SCA, perché la verifica presuppone un’operazione non autorizzata.

Accertata l’inapplicabilità della disciplina di particolare favore per il cliente dettata dall’art. 10, d.lgs. n. 11/2010, il Collegio verifica comunque, secondo le norme di diritto comune, se emerga una responsabilità concorrente dell’intermediario. Individua tre fattori sintomatici di un possibile apporto causale: la mancata disponibilità, anche temporanea, del numero verde del prestatore di servizi di pagamento; la mancata identificazione del tentativo di frode in corso da parte del dipendente cui il pagatore si sia rivolto; il mancato rilievo di indici di frode quando il cliente sia stato indotto a disporre pagamenti nella convinzione di effettuare accrediti.

Su questo terreno il ricorso non supera la prova. L’onere di dimostrare la presenza di uno o più dei fattori indicati grava sul ricorrente, che non ne ha dato prova, né essi risultano dalle evidenze in atti, richiamando il Collegio la propria decisione n. 9402/2025. Neppure la generica allegazione sul suggerimento di attendere la contabilizzazione prima del disconoscimento vale a fondare un contributo causale dell’intermediario.

L’operazione, compiuta personalmente dal ricorrente tramite canali estranei all’intermediario, è dunque autorizzata e non emergono profili di responsabilità dell’istituto. Il ricorso è non accolto.