Smishing e colpa grave dell’utente: nessun rimborso oltre la prima operazione (ABF Collegio di Roma n. 1937 del 05.03.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento, il prestatore di servizi di pagamento è tenuto a provare l’autenticazione della singola operazione e l’assenza di malfunzionamenti, nonché la colpa grave dell’utilizzatore. La vittima di smishing, che dia seguito alle istruzioni contenute in un SMS ingannevole e comunichi spontaneamente i codici di accesso al conto e alla banca online, è gravemente negligente nella custodia delle credenziali ai sensi dell’art. 12, comma 3, d.lgs. n. 11/2010, non essendo esente da colpa chi cade in truffe diffusamente note. Ne consegue il rigetto della domanda di rimborso delle operazioni successivamente autenticate, quando l’utente abbia ricevuto gli alert di addebito e abbia proseguito nelle disposizioni.

Il Fatto

La ricorrente, titolare di una carta di pagamento collegata al conto corrente, riceveva su un numero di cellulare un SMS con cui le veniva segnalato un presunto bonifico sospeso e le si indicava un recapito da contattare. Chiamato il numero, l’interlocutore si presentava come agente della sezione antifrode e la convinceva che il conto fosse stato violato, suggerendole di bloccare carta e conto e di far transitare il denaro su altro conto.

Insospettita, la ricorrente interrompeva la chiamata; poco dopo veniva ricontattata da un numero apparentemente riferibile alla banca emittente e, rassicurata, comunicava dati personali, dati del conto e credenziali di accesso alla banca online. Si avvedeva poi di tre transazioni per complessivi € 1.988,00 e presentava denuncia. L’intermediario, licenziatario del circuito internazionale, eccepiva la carenza di legittimazione passiva e, nel merito, il difetto dei presupposti del rimborso oltre la prima operazione.

La motivazione del Collegio

Il Collegio affronta anzitutto l’eccezione di legittimazione passiva. Il resistente si dichiara mero licenziatario del circuito, privo delle qualifiche di emittente e collocatore. Tuttavia non produce la convenzione con la banca di radicamento, di cui allega solo uno stralcio, sicché non è dato comprendere il riparto dei compiti.

Assume rilievo decisivo il contegno processuale: l’intermediario ha riscontrato il reclamo, è entrato nel merito delle contestazioni e ha prodotto i LOG di autenticazione delle operazioni. Per i Collegi territoriali, in casi analoghi, la legittimazione sussiste quando il resistente curi la gestione della pratica di contestazione, riscontri nel merito la richiesta di rimborso e produca la documentazione tecnica sul processo di autenticazione. Il Collegio richiama sul punto la propria decisione n. 10549 del 28.10.2025 e conclude per la legittimazione passiva.

Nel merito, la controversia si ridetermina in € 998,00: l’intermediario ha confermato il rimborso della prima operazione da € 990,00, mentre ha riaddebitato le due da € 499,00 eseguite alle 14:36 e alle 14:38. I LOG mostrano autenticazione da browser con codice OTP via SMS sul numero della ricorrente e inserimento del codice segreto, quindi con fattore di possesso e fattore di conoscenza.

Il Collegio qualifica la vicenda come smishing, specie di phishing realizzata via SMS. Il fenomeno è diffusamente noto e chi usa l’home banking deve conoscerlo. L’orientamento consolidato esenta da colpa grave solo la vittima di truffe particolarmente insidiose; chi cade in un phishing o smishing è invece gravemente negligente nella custodia dei codici, con responsabilità dell’utilizzatore ex art. 12, comma 3, d.lgs. n. 11/2010. La ricorrente ammette di aver seguito le istruzioni del messaggio e ha ricevuto gli alert di addebito prima delle ulteriori operazioni.

Ritenuto congruo il rimborso della prima transazione, il Collegio respinge il ricorso nel resto.