Phishing e smishing: la colpa grave dell’utente esclude la responsabilità del PSP (ABF Collegio di Milano n. 4328 del 13.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento (PSP) è esente da responsabilità quando dimostra l’avvenuta autenticazione forte delle disposizioni mediante l’uso combinato di due fattori, quali il PIN personale e il codice monouso (OTP) generato sul dispositivo certificato del cliente. Una volta assolto l’onere probatorio, la responsabilità dell’utilizzatore può essere affermata solo in presenza di dolo o colpa grave. Integra la colpa grave la condotta dell’utente che, rispondendo a una chiamata da numero sconosciuto, acconsente a ricevere un SMS con un link e vi clicchi, neutralizzando così i presidi di sicurezza predisposti dalla banca e consentendo l’installazione di un malware. L’obbligo di protezione del PSP non si estende fino a imporre il blocco di ogni operatività che si discosti dalle abitudini del cliente, quando le disposizioni siano state autorizzate con le procedure di sicurezza previste.

Il Fatto

Il ricorrente, persona di età avanzata (85 anni), riceveva sul proprio cellulare una chiamata da un numero sconosciuto: l’interlocutore, proponendo un’offerta finanziaria, chiedeva un recapito telefonico per l’invio di informazioni. Prestato il consenso, il ricorrente riceveva un SMS contenente un link; dopo averlo cliccato, il telefono cessava di funzionare per circa trenta minuti. In serata emergeva l’esecuzione di tre bonifici istantanei, rispettivamente di € 2.800,00, € 3.400,00 e € 940,00. Il ricorrente contattava subito il servizio clienti per disconoscere le operazioni, sporgeva denuncia-querela e presentava formale reclamo, cui seguiva il diniego dell’intermediario. Chiedeva quindi la restituzione complessiva di € 7.140,00.

L’intermediario, nelle controdeduzioni, sosteneva di aver fornito adeguata informativa sui rischi di frode e che le operazioni erano state autenticate con le credenziali del cliente (PIN e codice OTP), senza malfunzionamenti o intrusioni nei propri sistemi. Addebitava l’accaduto alla colpa grave del ricorrente e produceva i log informatici degli accessi e delle disposizioni. Insisteva per il rigetto.

La motivazione del Collegio

Il Collegio richiama la disciplina del D.Lgs. 27 gennaio 2010, n. 11. L’art. 10 del decreto pone a carico del PSP l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito conseguenze da malfunzionamenti. Fornita tale prova, la responsabilità dell’utilizzatore per le perdite da operazioni non autorizzate può affermarsi solo se il PSP dimostri dolo o colpa grave dell’utente.

Nel caso concreto, l’intermediario ha dato prova adeguata della corretta autenticazione. Le evidenze tecniche attestano che gli accessi all’home banking e le tre disposizioni sono stati autorizzati mediante autenticazione forte (SCA), con l’uso combinato del PIN personale (fattore di conoscenza) e di un codice monouso OTP generato sull’applicazione installata sul dispositivo del ricorrente (fattore di possesso), peraltro quello abitualmente utilizzato dal cliente. L’onere probatorio del primo comma dell’art. 10 del D.Lgs. n. 11/2010 risulta quindi assolto.

Il Collegio valuta poi la sussistenza della colpa grave. Il ricorrente ha risposto a una chiamata da numero sconosciuto e non riconducibile all’intermediario, ha acconsentito a ricevere l’SMS con il link per una generica offerta finanziaria e vi ha cliccato, sebbene il messaggio provenisse da un contatto privato e contenesse un URL non riconducibile al dominio della banca. Tale sequenza integra una grave violazione dei più elementari doveri di prudenza e diligenza, tanto più che il fenomeno del phishing e dello smishing è ampiamente noto e costantemente oggetto di avvertimenti.

La condotta del ricorrente, che ha attivamente collaborato con i truffatori, ha neutralizzato i presidi di sicurezza consentendo, con ogni probabilità, l’installazione di un malware e l’assunzione del controllo remoto del dispositivo. La giurisprudenza dello stesso Arbitro è costante nel ritenere che l’accesso a link palesemente fraudolenti integri la colpa grave dell’utente, interrompendo il nesso di causalità tra il servizio erogato e il danno.

Quanto alla pretesa anomalia delle operazioni, il Collegio riconosce un generale obbligo di protezione in capo all’intermediario, anche mediante sistemi di monitoraggio, ma esclude che esso giunga a imporre il blocco di ogni operatività difforme dalle abitudini del cliente, quando le disposizioni siano state autorizzate con le procedure di sicurezza e dal dispositivo certificato. Il ricorso è pertanto respinto.