Smishing e bonifico istantaneo: la colpa grave del cliente esclude il rimborso (ABF Collegio di Roma n. 4756 del 26.05.2026)

Principi di diritto (Massima)
Nel caso di smishing con SMS apparentemente riconducibile all’intermediario, il bonifico disposto dal cliente che abbia autonomamente seguito il link e completato l’autenticazione forte è a lui riferibile. L’operazione, autenticata mediante credenziali statiche, PIN e notifica push sullo smartphone del titolare, non rientra nella disciplina delle operazioni non autorizzate di cui al d.lgs. n. 11/2010. Il comportamento del cliente che ometta ogni verifica presso i canali ufficiali integra colpa grave e giustifica il rigetto della richiesta di rimborso. Il prestatore di servizi di pagamento del beneficiario, che abbia ricevuto il recall quando le somme erano già state prelevate, è privo di legittimazione passiva.

Il Fatto

Il ricorrente riferisce di aver ricevuto, il 13.03.2025, un SMS apparentemente proveniente dal proprio intermediario, che lo invitava a verificare alcuni dati del conto tramite un link allegato. Convinto della veridicità del messaggio, il cliente seguiva le indicazioni e autorizzava, senza rendersene conto, un bonifico istantaneo di 1.430,00 € a favore di un terzo.

Accortosi della truffa, chiedeva il recall dell’operazione: la richiesta, inoltrata il 14.03.2025, non andava a buon fine perché le somme erano già state prelevate dal conto di destinazione. Il ricorrente chiedeva quindi la retrocessione dell’importo. L’intermediario A eccepiva che l’operazione era stata disposta autonomamente dal cliente, senza anomalie sul piano dell’autenticazione, e invocava la sua colpa grave. L’intermediario B, prestatore del beneficiario, evidenziava la propria estraneità e l’esito negativo del recall per intervenuto prelievo.

La motivazione del Collegio

Il Collegio esamina la domanda alla luce del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e del Regolamento Delegato (UE) n. 2018/389, entrambi applicabili ratione temporis. Il ricorrente non ha prodotto alcuna denuncia e ha ricostruito i fatti in modo sintetico, limitandosi a descrivere l’SMS e l’involontaria autorizzazione del bonifico.

La ricostruzione configura, secondo il Collegio, un’ipotesi di smishing con SMS apparentemente riconducibile all’intermediario. Tuttavia l’istante non ha prodotto lo screenshot della chat contenente il messaggio civetta, né ha trasposto la vicenda in una denuncia. Queste carenze probatorie incidono sulla valutazione complessiva della fattispecie.

Quanto all’intermediario B, il Collegio ritiene la domanda inammissibile per difetto di legittimazione passiva: il prestatore del beneficiario ha documentato che, al momento della ricezione del recall, la liquidità era già stata prelevata dal truffatore.

Sul piano dell’autenticazione, la banca ha ricostruito l’operazione: accesso all’home banking da pc con credenziali statiche, digitazione del PIN sullo smartphone del ricorrente e autenticazione tramite notifica push ricevuta sulla token app. Le evidenze prodotte — richiamate nei log come “validazionePIN” e “sendpushnotification” — confermano il descritto sistema di autenticazione a più fattori.

Da qui la conclusione del Collegio: il cliente ha tenuto un comportamento poco diligente e improntato a negligenza, senza alcuna verifica preliminare presso i canali ufficiali della banca. Tale condotta integra la colpa grave, con conseguente rigetto della domanda di retrocessione.