Phishing e vishing: la comunicazione delle credenziali integra colpa grave del cliente (ABF Collegio di Napoli n. 1849 del 27.02.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10 del d.lgs. n. 11/2010, nonché l’applicazione dell’autenticazione forte del cliente nei casi previsti dall’art. 10-bis. Quando l’utente, vittima di artifizi e raggiri, comunica le proprie credenziali di sicurezza a un terzo e inserisce personalmente i fattori di autenticazione, la condotta integra colpa grave ai sensi dell’art. 12 del d.lgs. n. 11/2010, con esclusione di ogni responsabilità dell’intermediario. La mancata ricezione dell’SMS alert per l’operazione contestata è irrilevante ove si tratti di presidio ex post e di operazione unica, non potendo in concreto limitare il pregiudizio dell’utente.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 20 ottobre 2025 un SMS che lo avvisava di un pagamento in corso di € 4.900,00 e lo invitava a contattare un numero apparentemente riconducibile all’intermediario per bloccarlo. Chiamato il numero, un presunto operatore gli intimava di remotizzare il computer e di inserire i dati di identificazione e l’impronta digitale in APP, per compiere le operazioni necessarie a bloccare la frode. Con tali operazioni veniva invece autorizzato un bonifico istantaneo online di € 14.900,00 verso una persona sconosciuta.

Nel pomeriggio un reale operatore dell’intermediario avvisava il ricorrente della truffa, presumibilmente basata su smishing e spoofing, dopo aver bloccato carta e APP. Il reclamo e la denuncia non ottenevano il rimborso. Il ricorrente adisce quindi l’Arbitro invocando la responsabilità dell’intermediario per mancata applicazione delle misure di sicurezza rafforzate e chiedendo la restituzione di € 14.900,00.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, la fonte della disciplina sulla strong customer authentication, integrata dal Regolamento Delegato (UE) 2018/389 e dal parere EBA del 21 giugno 2019. L’impianto normativo pone in prima battuta sull’intermediario il rischio di utilizzazione fraudolenta degli strumenti di pagamento, ma consente di valutare in concreto se l’utente abbia agito in modo fraudolento o con dolo o colpa grave.

Il Collegio richiama l’orientamento condiviso secondo cui l’operazione eseguita per intero dal pagatore, anche seguendo le indicazioni del frodatore, deve considerarsi autorizzata e sottratta al regime di responsabilità del d.lgs. n. 11/2010. Se invece il concorso causale dell’utente è parziale, con l’inserimento di uno solo dei fattori di autenticazione, la transazione non è per ciò solo autorizzata, ma resta ferma la valutazione della colpa.

Nel caso di specie il Collegio ritiene che il ricorrente abbia fornito un apporto solo parziale, inserendo i fattori di autenticazione per un’operazione già predisposta dal truffatore. Trova quindi applicazione l’art. 10, commi 1 e 2, del d.lgs. n. 11/2010: l’intermediario ha dimostrato l’enrollment regolare nell’aprile 2025, l’accesso web mediante codice e device securizzato, l’uso di un fattore di conoscenza e di un fattore di possesso, producendo le evidenze degli accessi.

Quanto alle operazioni preliminari di costituzione della provvista, il Collegio applica il principio del Collegio di Coordinamento n. 8671 del 23 luglio 2024: i pagamenti da e verso lo stesso utente possono essere sottratti all’obbligo di SCA anche quando costituiscono la provvista per successive operazioni fraudolente, in forza della deroga dell’art. 15 del Regolamento Delegato (UE) 2018/389.

Il Collegio valorizza poi la difformità delle versioni fornite dal ricorrente: nel ricorso egli afferma di aver chiamato il numero indicato nell’SMS, mentre nella denuncia e nelle repliche sostiene di essere stato chiamato da un numero coincidente con quello ufficiale dell’intermediario. Tale diversità, di non scarso rilievo nella ricostruzione delle modalità della frode, contribuisce a rinvenire i connotati della colpa grave: il cliente ha comunicato le credenziali a un terzo, contravvenendo alle raccomandazioni di custodia. Sul punto il Collegio richiama il Collegio di Coordinamento n. 3498/2012 sulla “colpevole credulità” del cliente e il principio di Collegio di Coordinamento n. 22745/2019 sull’onere probatorio del PSP, provabile anche per presunzioni ai sensi dell’art. 2729 c.c.

Infine, sul servizio di SMS alert, il Collegio richiama il Collegio di Coordinamento n. 24366/19, che lo qualifica presidio di sicurezza dell’utente. Pur mancando documentazione sull’invio dell’alert per il bonifico istantaneo, si tratta di presidio ex post, la cui assenza è irrilevante in presenza di una sola operazione fraudolenta. Il ricorso è pertanto respinto.