Smishing e colpa grave dell’utente escludono rimborso per carta di debito clonata (ABF Collegio di Roma n. 2051 del 09.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento deve provare l’autenticazione della disposizione, la sua corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti, secondo la sequenza graduata dell’art. 10 d.lgs. n. 11/2010. Accertata la conformità dell’operazione alla strong customer authentication, la richiesta di rimborso resta subordinata alla verifica della condotta dell’utente. La vittima di una truffa mediante smishing, che clicchi sul link contenuto in un SMS e inserisca i dati della carta, è gravemente negligente nella custodia dei codici di accesso, con responsabilità ai sensi dell’art. 12, comma 3, d.lgs. n. 11/2010. Solo le truffe particolarmente insidiose e difficili da individuare esentano l’utente da colpa grave.

Il Fatto

La ricorrente, titolare di una carta di debito collegata al proprio conto corrente e abilitata ai servizi di home banking, ha disconosciuto un pagamento POS estero addebitato il 16.07.2024 per complessivi euro 1.081,63, di cui euro 1.060,32 di acquisto presso un noto marchio di abbigliamento sportivo e la parte residua a titolo di commissioni di conversione e oneri accessori. L’addebito originava da una transazione in valuta estera (8.995,00 dollari di Hong Kong) eseguita in tarda serata.

Secondo la ricorrente, la truffa era partita da un SMS ricevuto lo stesso giorno, che la informava della sospensione di una consegna e la invitava ad aggiornare i dati tramite un link. In attesa di acquisti online, la donna cliccava, approdava a una pagina simile a quella di un intermediario e inseriva i dati della carta per i costi di spedizione. L’intermediario, costituitosi, ha eccepito la colpa grave della cliente e chiesto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva PSD2. Il regime probatorio è di favore per l’utente, ispirato al principio del rischio d’impresa richiamato dal Collegio di coordinamento n. 3498/2012: è razionale far gravare i rischi statisticamente prevedibili sull’impresa, capace di ribaltarne il costo sulla massa degli utenti.

L’art. 10 d.lgs. n. 11/2010 impone al prestatore una sequenza graduata: provare in primo luogo l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di inconvenienti tecnici; solo dopo, il comportamento gravemente colposo o doloso dell’utilizzatore, anche per presunzioni. La prova dell’autenticazione è antecedente logico rispetto a quella della colpa grave.

Nel caso concreto l’intermediario ha documentato un sistema di autenticazione forte basato su due codici statici e su un codice dinamico OTP, generato tramite App o via SMS sul numero certificato, con ulteriore conferma per le disposizioni più delicate. I log non editabili dimostrano che l’operazione è stata disposta dal dispositivo abituale della ricorrente, con validazione del codice dinamico previo inserimento del PIN: la transazione risulta quindi conforme alla strong customer authentication.

Passando alla condotta dell’utente, il Collegio qualifica il fatto come smishing, species del phishing realizzata via SMS. Il mittente era un’utenza privata non riconducibile alla banca. Il fenomeno è diffusamente noto e chi usa l’home banking dovrebbe riconoscerlo con normale avvedutezza. L’orientamento consolidato dei Collegi territoriali e del Collegio di coordinamento esenta da colpa grave solo chi sia vittima di truffe particolarmente insidiose. Chi invece cade in una truffa da phishing o smishing è gravemente negligente nella custodia dei codici, con responsabilità ex art. 12, comma 3, d.lgs. n. 11/2010.

Il Collegio rileva che la ricorrente ammette di aver seguito le istruzioni del messaggio, credendolo proveniente dall’intermediario. La domanda di rimborso non può quindi essere accolta e il ricorso è respinto.