Phishing e vishing: SCA regolare ma concorso di colpa del cliente al 50 per cento (ABF Collegio di Napoli n. 1195 del 10.02.2026)

Principi di diritto (Massima)
Nelle frodi riconducibili allo schema del phishing e del vishing, quando l’intermediario dimostra che le operazioni sono state autenticate, correttamente registrate e contabilizzate mediante strong customer authentication a due fattori, le stesse non integrano un’operazione non autorizzata ai sensi degli artt. 10 e 10-bis del d.lgs. n. 11/2010. Il rischio non si trasferisce automaticamente sul prestatore di servizi di pagamento, ma neppure questi resta esente da responsabilità: occorre valutare il suo contegno concreto e il contributo causale all’evento ai sensi dell’art. 1227 c.c.. La condotta del cliente che si lasci circonvenire con metodi noti integra colpa grave e giustifica un concorso di colpa nella misura accertata dal Collegio.

Il Fatto

La ricorrente riferisce di aver subito il trasferimento fraudolento di somme detenute sotto forma di buoni postali, poi confluiti sulla carta di credito a lei intestata e infine sottratti con due bonifici. La vicenda nasce da una telefonata ricevuta il 04/06/2025 da un numero sconosciuto: un interlocutore, parlando in russo, le prospettava guadagni da investimenti e la induceva a proseguire in videochiamata e ad accedere alla propria app.

Terminata la conversazione, l’istante si avvedeva che le somme accreditate derivavano in realtà dalla liquidazione di titoli propri e che erano stati eseguiti due bonifici mai autorizzati per complessivi € 4.980,00. Insoddisfatta dell’esito dell’interlocuzione con l’intermediario, si rivolgeva all’Arbitro chiedendo la restituzione dell’importo. Il resistente eccepiva la rideterminazione della somma e chiedeva il rigetto del ricorso, sostenendo la regolarità dell’autenticazione.

La motivazione del Collegio

Il Collegio rileva che le operazioni contestate, eseguite il 05/06/2025 a distanza di circa quattro minuti l’una dall’altra, ricadono nell’ambito del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. La normativa rafforza il favor probatorio per l’utente, ma attribuisce al prestatore l’onere di provare che l’operazione è stata autenticata e correttamente registrata. Secondo gli orientamenti condivisi richiamati, la PSD2 è tecnologicamente neutrale: ai fini della prova della SCA possono valutarsi, oltre ai log, anche ulteriori elementi esplicativi, purché consentano di verificare i singoli passaggi.

Nel caso concreto l’intermediario ricostruisce la fase di log-in, avvenuta con password e otp, e quella autorizzativa tramite inserimento delle otp ricevute. Le due operazioni risultano pertanto eseguite in conformità dell’art. 10-bis del d.lgs. n. 11/2010, con autenticazione a due fattori riconducibili alla conoscenza e al possesso.

Quanto alla provvista, costituita mediante rimborso di buoni e ricariche sulla carta, il Collegio osserva che l’intermediario richiama la decisione del Collegio di Coordinamento n. 8671/2024, ma allega comunque le evidenze dell’autenticazione. Emerge tuttavia un’anomalia: l’otp per la liquidazione del buono e le richieste autorizzative dei bonifici provengono da dispositivi localizzati all’estero, in località distanti dal domicilio della ricorrente.

Il comportamento della cliente integra poi colpa grave. Dalle dichiarazioni di natura confessoria rese in sede di denuncia emerge che la conversazione avvenne con modalità non utilizzate dall’intermediario per i contatti con la clientela. Il Collegio riconduce la fattispecie al vishing, ove il cliente è vittima di colpevole credulità secondo l’orientamento del Collegio di Coordinamento n. 3498/2012. Ciò non esonera automaticamente l’intermediario: occorre valutare il suo contributo causale ai sensi dell’art. 1227 c.c., anche alla luce degli indicatori di frode dell’art. 8 del D.M. n. 112/2007 e dell’art. 2 del Regolamento EBA 2018/389. I movimenti degli otto mesi precedenti dimostrano che i bonifici non erano in linea con l’operatività abituale, né per importo né per tempistica.

Quanto agli alert, il resistente prova l’invio degli sms alert per ciascuna operazione, secondo il principio del Collegio di Coordinamento n. 24366/2019; il blocco della carta avvenne però solo il 06/06/2025. Valutate tutte le circostanze, il Collegio ritiene equo imputare alla ricorrente un concorso di colpa del 50 per cento, con responsabilità dell’intermediario per la parte residua a titolo risarcitorio. Accoglie quindi parzialmente il ricorso e riconosce il diritto alla restituzione di € 2.490,00, oltre interessi legali dalla data del reclamo.