Phishing con pagamento autorizzato: nessun rimborso e onere probatorio del danno (ABF Collegio di Bologna n. 9 del 05.01.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento on line è eseguita per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al favorevole regime di responsabilità previsto dalla PSD2. Il Collegio può tuttavia ravvisare una responsabilità concorrente del PSP, secondo le norme di diritto comune, quando dalla documentazione emerge un apporto causale concreto dell’intermediario alla frode, come la mancata disponibilità del numero verde, il mancato rilievo di un tentativo di frode in corso o l’omessa percezione di indicatori di anomalia che avrebbero reso consapevole il cliente. Il danno da inerzia o disagio non è in re ipsa e va provato dal ricorrente ai sensi dell’art. 2697 c.c.

Il Fatto

Il ricorrente, titolare di una carta emessa dall’intermediario, riferisce di essere stato vittima di una frode informatica tramite il sito clone di un esercente, che lo aveva indotto a effettuare un pagamento non voluto di € 399,00. Accortosi subito dell’anomalia, segnalava la circostanza entro dieci minuti, ma senza canali diretti di assistenza, potendo solo utilizzare un modulo o un’email. La contestazione veniva rigettata dall’intermediario, che riteneva corretta l’operazione in quanto conforme alla SCA.

Il ricorrente chiede quindi il rimborso integrale della somma e un ulteriore importo forfettario di € 400,00 a titolo di danni accessori, per l’assenza di assistenza diretta, l’inerzia nella gestione della contestazione, l’omissione nell’attivazione di contestazione sui circuiti e il disagio causato. L’intermediario eccepisce che la condotta rientra nel phishing, che il pagamento è stato eseguito volontariamente dal cliente e che l’eventuale inadempimento del fornitore non è imputabile al prestatore di servizi di pagamento.

La motivazione del Collegio

Il Collegio ricostruisce la fattispecie muovendo dalla qualificazione dell’operazione. Secondo l’orientamento condiviso dai Collegi, quando il pagatore inserisce personalmente la disposizione e tutti i fattori di autenticazione, l’operazione deve considerarsi autorizzata. Ne deriva l’inapplicabilità della disciplina di cui al d.lgs. 11/2010 in punto di responsabilità del prestatore per le operazioni non autorizzate, con il conseguente venir meno del favorevole regime della PSD2.

Il Collegio non si ferma però a questa constatazione e verifica l’eventuale responsabilità concorrente del PSP, da accertare secondo le norme di diritto comune. L’apporto causale dell’intermediario alla frode deve emergere in concreto dalla documentazione in atti. Il Collegio individua alcuni indici sintomatici: la mancata disponibilità, anche temporanea, del numero verde, che impedisca all’utente di accertare in via preliminare la genuinità delle indicazioni del frodatore; la mancata identificazione del tentativo di frode in corso da parte del dipendente cui il pagatore si sia rivolto; il mancato rilievo di indicatori di frode quando il cliente sia stato indotto a disporre pagamenti nella convinzione di effettuare accrediti e il blocco delle transazioni lo avrebbe reso consapevole dell’effettiva natura delle operazioni.

Nel caso concreto, esaminate le comunicazioni intercorse con il truffatore sul sito clone dell’esercente, l’operazione appare scaturita da un fenomeno di phishing. Il ricorrente ha personalmente eseguito il pagamento, per quanto indotto dal truffatore, e ha cercato assistenza dall’intermediario solo dopo averlo effettuato. Non emergono inoltre indicatori di anomalia ai sensi del DM 112/2007. Il Collegio conclude pertanto che il ricorrente è chiamato a sopportare l’intera perdita subita in conseguenza della truffa.

Quanto alla domanda di € 400,00 per danni accessori, il Collegio rileva che essa non è supportata da alcuna evidenza probatoria. Il danno patrimoniale e non patrimoniale non può considerarsi in re ipsa, come ribadito dal Collegio di Coordinamento n. 1642/2019, e l’onere della prova grava sul ricorrente ai sensi dell’art. 2697 c.c., non essendo sufficiente la mera allegazione del danno. Il richiamo è anche alla decisione del Collegio di Bologna n. 10214/2023. Il ricorso è pertanto respinto in ogni sua domanda.