Colpa grave del cliente esclude rimborso per phishing con autorizzazione push (ABF Collegio di Roma n. 4515 del 20.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza effettuate sotto la vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della Direttiva 2015/2366/UE, l’autenticazione che combina un fattore di conoscenza (PIN) o di inerenza (touch o face id) e un fattore di possesso (OTP generato da mobile token) è conforme alla autenticazione forte del cliente (SCA). Quando la frode sia riconducibile a phishing e il cliente non provi né il numero chiamante né il registro delle chiamate, il suo comportamento integra la colpa grave che preclude il rimborso. Le modalità più diffuse di accaparramento delle credenziali devono essere individuate da un cliente di normale avvedutezza. Il Collegio respinge quindi la richiesta di restituzione dell’importo addebitato.

Il Fatto

La ricorrente riferisce di aver ricevuto il 04.02.2025 alcune telefonate da un numero apparentemente riferibile alla banca resistente. L’operatore telefonico tentava di farsi comunicare i dati del conto corrente e delle carte, ma la cliente dichiara di non averli forniti. Successivamente, attraverso un controllo sull’app bancaria, apprendeva di un addebito di euro 1.431,97 sulla carta emessa dall’intermediario. Chiede pertanto la restituzione di tale importo.

L’intermediario, nelle controdeduzioni, eccepisce che l’operazione contestata risulta autorizzata conformemente a SCA. Ritiene presumibile che, mentre la ricorrente era al telefono con il presunto operatore, abbia autorizzato la notifica push inviata dalla banca. Precisa di aver inviato al cellulare il messaggio di richiesta di autorizzazione delle operazioni e, in seguito, il messaggio SMS e la notifica push dell’avvenuto pagamento. Conclude per il rigetto del ricorso.

La motivazione del Collegio

La controversia ha ad oggetto un’operazione fraudolenta eseguita il 04.02.2025 alle ore 15:13 su un sito di e-commerce per la somma di euro 1.431,97. Il Collegio colloca la fattispecie sotto la vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, che ha recepito la Direttiva 2015/2366/UE (c.d. PSD 2).

Sul piano dell’autenticazione, l’intermediario documenta che le operazioni sono state effettuate online su sito che opera in modalità sicura e validate mediante Pin e OTP generata da mobile token. Per generare l’OTP silente è stato necessario approvare una notifica push o conferire apposita autorizzazione dalla “lista delle autorizzazioni” presente sull’app, mediante touch ID. Il Collegio ritiene che tale processo, che prevede un fattore di conoscenza o di inerenza e un fattore di possesso, sia conforme a SCA.

Passando alla dinamica della truffa, la ricorrente riferisce di aver ricevuto una telefonata apparentemente proveniente dalla banca e che l’operatore le avrebbe chiesto i dati dei conti e delle carte, che tuttavia assume di non aver comunicato. Il Collegio rileva però che la ricorrente non ha indicato il numero dal quale proveniva la telefonata né ha allegato il registro chiamate, nemmeno a fronte della richiesta di integrazione istruttoria formulata dal Collegio stesso.

In tale contesto la frode appare riconducibile all’ipotesi di phishing, nella quale il cliente è vittima di una colpevole credulità: colpevole perché è portato a comunicare le proprie credenziali di autenticazione al di fuori del circuito operativo dell’intermediario, e tanto più colpevole quanto più si consideri che tali forme di accaparramento sono ormai note al pur non espertissimo navigatore di internet. Il Collegio richiama sul punto la decisione n. 3498/2012 del Collegio di Coordinamento.

Valutate le circostanze del caso concreto, la credulità della ricorrente appare non scusabile, perché le modalità con cui la truffa è stata perpetrata rientrano tra quelle più diffuse, che qualunque cliente dotato di normale avvedutezza e prudenza deve essere in grado di individuare senza farsi trarre in inganno. Allo stato delle risultanze agli atti, nel comportamento della ricorrente è dunque ravvisabile la colpa grave che non consente di accogliere la richiesta di rimborso.