Smishing e bonifico istantaneo: onere della prova e colpa grave dell’utente (ABF Collegio di Palermo n. 1790 del 25.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento telematiche non autorizzate, l’onere della prova della genuinità dell’operazione e dell’eventuale dolo o colpa grave dell’utente grava sull’intermediario, ai sensi dell’art. 10 del D.Lgs. n. 11/2010. Ove la banca dimostri che l’ordine è stato impartito previa autenticazione forte del cliente (SCA) a due fattori, correttamente registrata nei propri sistemi, l’operazione deve ritenersi autenticata e la sua esecuzione espressione del corretto utilizzo delle credenziali. La dedotta sofisticazione dello smishing, ove non sorretta da alcuna evidenza probatoria del messaggio civetta, non consente di qualificare l’episodio come spoofing né di attenuare il giudizio di rimproverabilità dell’utente. L’irrevocabilità tecnica del bonifico istantaneo non esonera la banca dall’obbligo di rimborso, ma rileva solo ove l’operazione non risulti imputabile a colpa grave del cliente.

Il Fatto

Il ricorrente, titolare di un conto corrente presso l’intermediario, ha disconosciuto un bonifico istantaneo addebitato sul proprio conto a favore di un beneficiario sconosciuto, con IBAN estero. Ha riferito di essere venuto a conoscenza dell’operazione solo grazie a un SMS di conferma della banca e di aver subito contattato l’assistenza telefonica per bloccare le credenziali. Secondo la sua ricostruzione, sarebbe stato vittima di smishing: un SMS apparentemente proveniente dall’intermediario lo avrebbe indirizzato su un sito clone, identico al portale ufficiale, dove ha inserito le proprie credenziali.

L’intermediario ha chiesto il rigetto del ricorso. Ha eccepito la conformità dei propri sistemi alla PSD2 e l’adozione di un sistema di autenticazione forte a due fattori. Ha rilevato che l’operazione era stata preceduta dall’attivazione dell’App su un nuovo dispositivo, resa possibile dall’inserimento di un codice OTP inviato al numero certificato del cliente. Ne ha tratto la prova della colpa grave del ricorrente, che avrebbe comunicato a terzi il codice personale.

La motivazione del Collegio

Il Collegio ha qualificato la vicenda come disconoscimento di un’operazione di pagamento su canale telematico, riconducendola alla disciplina del D.Lgs. n. 11/2010. Ha richiamato in via preliminare l’art. 10 del decreto, che riversa integralmente sull’intermediario l’onere di provare la genuinità dell’operazione e l’eventuale dolo o colpa grave dell’utente.

L’istruttoria ha accertato che l’operazione non è stata disposta dal dispositivo abituale del ricorrente. È stata preceduta dall’attivazione dell’App su un nuovo device, in uso ai frodatori, mediante l’inserimento di dati identificativi statici, di una porzione del codice PIN e di un OTP inviato via SMS al numero certificato. Il sistema ha quindi impiegato due fattori di autenticazione: l’elemento della conoscenza e quello del possesso.

Quanto alla fase dispositiva, i log informatici prodotti dall’intermediario descrivono una sequenza formalmente corretta e lineare. Dopo l’inserimento dei dati del bonifico, l’autorizzazione è stata perfezionata con il riconoscimento biometrico memorizzato sul dispositivo al momento dell’attivazione. Il Collegio ha ritenuto accertato che l’operazione è stata autenticata nel rispetto della normativa in materia di SCA. Ne ha fatto discendere che la banca si è limitata a eseguire ordini impartiti mediante il corretto utilizzo delle credenziali, e che l’operazione è stata resa possibile dalla cooperazione attiva del cliente.

Il Collegio ha respinto la contestazione sull’attendibilità dei log, analoga a quella usualmente proposta in tali controversie (Collegio ABF Milano, decisione 6265/25). Ha poi escluso ogni attenuazione della responsabilità legata alla tipologia di truffa, rilevando che il ricorrente non ha prodotto alcuna evidenza dell’SMS civetta. Tale carenza ha impedito di qualificare l’episodio come spoofing e di valutarne la sofisticazione. L’assunto è rimasto meramente assertivo e non ha potuto fondare alcuna mitigazione del giudizio di rimproverabilità.

Il Collegio ha quindi confermato la colpa grave del cliente e ha respinto la domanda restitutoria, non accogliendo il ricorso.