Smishing e carta di pagamento (ABF Collegio di Milano n. 3146 del 10.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’intermediario assolve il proprio onere probatorio quando dimostra l’autenticazione forte dell’operazione, la sua corretta registrazione e contabilizzazione, nonché l’assenza di malfunzionamenti tecnici. La SCA si realizza mediante il concorso di almeno due fattori indipendenti tra conoscenza, possesso e inerenza. Provata l’autenticazione, la pretesa restitutoria dell’utente può essere respinta solo se l’intermediario dimostra il dolo o la colpa grave dell’utilizzatore. Integra colpa grave la condotta di chi, indotto da un SMS fraudolento, inserisca i dati della carta su un sito estraneo all’intermediario e confermi poi il pagamento validando la notifica PUSH con impronta digitale, in assenza di evidenze di responsabilità concorrente dell’intermediario.

Il Fatto

Il ricorrente riceve un SMS che lo invita a cliccare su un link per aggiornare l’indirizzo di spedizione e sbloccare la consegna di un pacco. In attesa di una spedizione, accede al link e inserisce i propri dati personali e bancari. Poco dopo rileva un addebito non autorizzato e contatta l’intermediario per bloccare la carta.

Chiede quindi il rimborso delle somme addebitate e del contributo versato all’ABF. L’intermediario eccepisce la colpa grave dell’utente, ricordando che il pagamento è stato autenticato tramite SCA e contabilizzato senza anomalie. In subordine, chiede la ripartizione del danno ai sensi dell’art. 1227, commi 1 e 2, cod. civ. Il ricorrente replica che la conferma tecnica non equivale a volontà consapevole di disporre il pagamento, essendo il consenso viziato da una falsa rappresentazione della realtà.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel D.lgs. n. 11/2010, di recepimento della direttiva sui servizi di pagamento, e nel provvedimento attuativo della Banca d’Italia del 05.07.2011. Da tale impianto discendono due regole probatorie: l’intermediario deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, oltre all’insussistenza di malfunzionamenti; sempre l’intermediario deve provare i fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’uso fraudolento dello strumento.

Il Collegio ribadisce che la SCA richiede almeno due dei tre fattori di conoscenza, possesso e inerenza, reciprocamente indipendenti. Nel caso concreto, l’operazione è stata autenticata con notifica PUSH sul dispositivo abitualmente usato dalla cliente (possesso) e validata con impronta digitale (inerenza). Il ricorrente stesso ammette di aver confermato tecnicamente l’operazione. L’autenticazione forte è dunque provata.

Passando alla colpa, il Collegio qualifica la vicenda come smishing: l’SMS proviene da un mittente estraneo all’intermediario e induce la cliente ad accedere a un sito fraudolento con l’erronea convinzione di gestire una spedizione. Il Collegio esamina l’SMS “civetta” e rileva che il messaggio è segnalato automaticamente dal dispositivo come “forse indesiderato” e “spam”, contiene errori ortografici grossolani e presenta un link non riferibile all’intermediario.

Tali elementi inducono il Collegio a ritenere la condotta dell’utente connotata da colpa grave, non ravvisandosi evidenze di responsabilità concorrente dell’intermediario. Il ricorso è pertanto respinto.