Colpa grave del titolare per phishing via sms esclude rimborso della banca (ABF Collegio di Milano n. 4011 del 05.05.2026)

Principi di diritto (Massima)
Il titolare di una carta di credito che, indotto da un sms fraudolento, inserisca i dati dello strumento su un’interfaccia non riconducibile all’intermediario, non può pretendere il rimborso dell’operazione non autorizzata. L’art. 12, c. 3 del d.lgs. 11/2010 esclude il diritto al rimborso quando la frode si sia realizzata per effetto di colpa grave del cliente. La condotta negligente nella custodia delle credenziali integra gli estremi della colpa grave e assume valore eziologico determinante nell’evento dannoso, anche a fronte di un’autenticazione forte regolarmente eseguita dall’intermediario. L’esecuzione dell’operazione con i fattori di autenticazione del cliente, senza illecito esterno imposto, esclude l’esonero dell’intermediario previsto dalla disciplina delle operazioni non autorizzate.

Il Fatto

Il ricorrente riceveva, nel pomeriggio di una giornata di novembre 2025, un sms apparentemente proveniente da una società di gestione autostradale, con cui gli si chiedeva di pagare un pedaggio non saldato di importo modesto. Cliccando sul link contenuto nel messaggio, il cliente accedeva a un’interfaccia di pagamento in apparenza riconducibile alla società e inseriva i dati della propria carta di credito. Dal successivo controllo dell’home banking rilevava un addebito pari a € 661,96, ben superiore ai € 6,50 indicati nel messaggio.

Il cliente presentava denuncia il giorno seguente e reclamo due giorni dopo; la banca riscontrava negativamente. Domandava quindi il rimborso dell’importo. L’intermediario, nelle controdeduzioni, eccepiva che l’operazione era stata eseguita personalmente dal cliente, correttamente autenticata e contabilizzata, che ampia era stata l’informativa antifrode e che sussisteva la colpa grave del ricorrente.

La motivazione del Collegio

Il Collegio individua la questione nell’accertamento dell’autenticazione dell’operazione e, sullo sfondo, nella valutazione della colpa del titolare. Sul primo punto, dall’esame dei log informatici risulta che l’operazione è stata autenticata mediante otp virtuale, generato dall’inserimento del pin sul dispositivo registrato del ricorrente: fattore di possesso e fattore di conoscenza hanno operato correttamente. La registrazione e contabilizzazione sono risultate regolari.

Passando alla condotta delle parti, il Collegio valorizza la circostanza che il cliente conosceva l’esistenza di un pedaggio non pagato: proprio questo lo ha indotto a ritenere autentico il messaggio. L’esame dell’SMS civetta prodotto in atti evidenzia elementi di allarme: il messaggio non è attribuibile all’intermediario, contiene un link non riconducibile al dominio della banca né ad essa riferibile e presenta errori di punteggiatura, con la virgola al posto dell’apostrofo.

Su tale base, il Collegio ritiene provato l’apporto eziologico determinante della colpa grave del ricorrente, consistita nella negligente custodia delle credenziali dello strumento di pagamento. È questa la ragione del rigetto: la condotta del titolare si colloca nella fattispecie che esclude il rimborso ai sensi della disciplina richiamata, nonostante la corretta esecuzione dell’autenticazione da parte dell’intermediario.

Il ricorso è pertanto non accolto. La decisione conferma l’orientamento per cui il titolare che si lasci indurre a comunicare i dati della carta in risposta a una comunicazione manifestamente estranea e sgrammaticata non può addossare all’intermediario le conseguenze della propria leggerezza.