La condotta negligente del titolare esclude il rimborso per phishing (ABF Collegio di Bologna n. 1294 del 13.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che provi l’avvenuta autenticazione forte del cliente ai sensi dell’art. 10 bis del d.lgs. n. 11/2010 è tenuto a indicare gli elementi di fatto dai quali desumere la frode, il dolo o la colpa grave dell’utilizzatore. La comunicazione incauta dei dati della carta di debito a un sedicente acquirente, nell’ambito di una truffa online, integra la colpa grave e giustifica il rigetto della richiesta di rimborso. Non appare ragionevole, infatti, inserire i dati della propria carta per ricevere un pagamento.

Il Fatto

La ricorrente, titolare di una carta di debito collegata al conto corrente acceso presso l’intermediario convenuto, pubblicava un annuncio di vendita su una nota piattaforma online. Riceveva una mail, apparentemente proveniente dalla stessa piattaforma, che richiedeva la conferma della vendita tramite selezione di un link e l’inserimento dei dati della carta per ricevere il pagamento di 30,00 euro. Eseguita l’operazione, il giorno successivo scopriva un addebito di 232,00 euro.

Richiedeva quindi il rimborso all’intermediario, allegando la denuncia, e ne riceveva un riscontro negativo. Proponeva pertanto ricorso all’Arbitro Bancario Finanziario per ottenere l’accertamento dell’obbligo di restituzione della somma. L’intermediario chiedeva il rigetto, sostenendo la regolarità dell’operazione e la mancanza di prova della truffa.

La motivazione del Collegio

Il Collegio ricostruisce in primo luogo il quadro normativo applicabile, individuato nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Richiama quindi l’orientamento consolidato secondo cui, a fronte del disconoscimento dell’operazione, è onere dell’intermediario provare che la stessa sia stata autenticata, registrata e contabilizzata, ai sensi dell’art. 10, comma 1, del d.lgs. n. 11/2010.

Nel caso concreto l’intermediario ha fornito prova dell’autenticazione a doppio fattore, invocando il fattore di possesso (notifica push sul dispositivo in uso) e il fattore di inerenza (conferma mediante riconoscimento biometrico), con il deposito delle relative evidenze. Il Collegio richiama sul punto precedenti conformi dei Collegi territoriali, ai quali intende dare continuità.

L’accertamento dell’autenticazione non esaurisce però il vaglio. Il Collegio applica l’art. 10, comma 2, del d.lgs. n. 11/2010 e il principio interpretativo del Collegio di coordinamento n. 22745/2019: la prova dell’autenticazione e della regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio, dovendo l’intermediario indicare specificamente gli elementi di fatto che consentano di desumere in via presuntiva la colpa grave dell’utente.

Su questo terreno il Collegio ritiene raggiunta la prova. Le stesse dichiarazioni della ricorrente e le schermate prodotte dimostrano che il messaggio truffaldino non era riferibile all’intermediario, ma alla chat di una piattaforma di compravendita online, nella quale la ricorrente ha incautamente inserito tutti i dati della propria carta. Il pregiudizio è dunque ascritto esclusivamente alla sua negligenza e superficialità, considerata anche la frequenza con cui vengono perpetrate truffe di questo tipo e l’irragionevolezza oggettiva di fornire i dati della carta per ricevere un pagamento.

Il ricorso è pertanto rigettato, in ragione della colpa grave della ricorrente.