Phishing e vishing non sofisticati: colpa grave del cliente e sistema SCA (ABF Collegio di Roma n. 2672 del 23.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento è tenuto a provare l’autenticazione dell’operazione, correttamente registrata e contabilizzata con un sistema di autenticazione forte (SCA), nonché tutti i fatti idonei a integrare la colpa grave dell’utilizzatore. Qualora l’intermediario dimostri l’adozione di una procedura SCA conforme e il cliente sia caduto in un phishing o vishing non particolarmente sofisticato, presti fede a SMS e telefonate con l’intestazione dell’intermediario ma non riconducibili alle sue utenze e comunichi i codici OTP, la condotta del cliente integra colpa grave ed esclusiva, con conseguente rigetto della domanda di rimborso.

Il Fatto

Il ricorrente rappresenta di aver ricevuto, in data 13 marzo 2025, un SMS recante l’intestazione dell’intermediario, che lo allertava di un’imminente autorizzazione al trasferimento di denaro e lo invitava a contattare un numero telefonico. Pochi minuti dopo riceveva una chiamata da un’utenza con il logo dell’intermediario: un sedicente operatore, prospettando operazioni di “prova”, richiedeva la comunicazione dei codici OTP. Prestando fede all’interlocutore, il cliente dava seguito alla richiesta, salvo poi avvedersi della natura truffaldina dell’operazione e interrompere la chiamata.

Riscontrato un ammanco di 989,40 euro, il ricorrente bloccava la carta e disconosceva le transazioni, chiedendo la restituzione della somma, oltre interessi e rivalutazione. L’intermediario resistente eccepiva che l’operazione era stata approvata tramite autenticazione forte e senza anomalie, nel rispetto dei requisiti SCA, e che il cliente era stato vittima di phishing e vishing.

La motivazione del Collegio

Il Collegio ricostruisce l’operazione nelle sue quattro fasi: creazione della provvista mediante trasferimento dei fondi dal libretto di risparmio verso una carta prepagata; enrollment della carta nel sistema autorizzativo dinamico tramite password inviata via SMS; login in APP; fase dispositiva in senso stretto. Rileva che l’intera operazione si è svolta sotto la vigenza del d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017, di recepimento della PSD 2.

Richiamando il proprio orientamento (Coll. Coord. n. 22745 del 2019), il Collegio individua due dirimenti profili. In primo luogo, è l’intermediario a dover provare l’autenticazione, la corretta registrazione e la contabilizzazione delle operazioni, dovendo fornire evidenza dell’impiego del sistema SCA, posto che ai sensi del comma 2 bis dell’art. 12 del d.lgs. n. 11 del 2010 il pagatore non sopporta alcuna perdita se il prestatore non esige l’autenticazione forte. In secondo luogo, spetta sempre all’intermediario provare i fatti integranti la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi patisce le conseguenze dell’utilizzo fraudolento dello strumento.

Sul primo profilo, il Collegio ritiene che l’intermediario abbia dato prova dell’avvenuta autenticazione secondo procedura SCA, mediante notification in APP e inserimento del codice riservato, con impiego del fattore di conoscenza e del fattore di possesso. L’intermediario ha quindi dimostrato di essersi dotato di un sistema di autenticazione forte conforme alla normativa di settore (cfr. Coll. Roma n. 15522 del 2022).

Sul secondo profilo, il Collegio qualifica la fattispecie come ipotesi di phishing e vishing non particolarmente sofisticata, nella quale riconosce la colpa grave ed esclusiva del cliente (cfr. Coll. Roma n. 1479 del 2024). La condotta del ricorrente è caratterizzata da colpa grave anche per aver prestato fede a SMS e chiamate recanti l’intestazione dell’intermediario ma non provenienti da utenze ad esso riconducibili. Il Collegio osserva inoltre che l’intermediario produce evidenza dell’invio di notifiche in APP relative all’operazione contestata. Il ricorso, pertanto, non è fondato e viene respinto.