Colpa grave del cliente esclude rimborso per operazioni autorizzate da smishing (ABF Collegio di Milano n. 3183 del 10.04.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento eseguite con carta, grava sull’intermediario l’onere di provare che l’operazione è stata correttamente autenticata, registrata e contabilizzata, senza malfunzionamenti dei sistemi, ai sensi dell’art. 10 del d.lgs. n. 11/2010. Una volta assolta tale prova, spetta all’intermediario dimostrare il dolo o la colpa grave dell’utilizzatore. L’operazione di mero trasferimento di provvista tra conti dello stesso titolare presso lo stesso intermediario non è soggetta all’obbligo di SCA, ma può generare responsabilità dell’intermediario solo se fonte diretta e immediata della perdita o se ne sia dimostrata la negligenza. Chi, vittima di smishing, comunica credenziali e codici OTP al frodatore e autorizza l’operazione sul proprio dispositivo risponde per colpa grave, con conseguente rigetto della domanda di rimborso.

Il Fatto

Il ricorrente riferisce di aver ricevuto, l’11.11.2025, un SMS apparentemente riferibile all’intermediario, che segnalava un presunto trasferimento di € 980,00 in approvazione e invitava a contattare un numero per bloccarlo. Chiamato il recapito, un interlocutore qualificatosi come operatore dell’intermediario gli indicava di modificare le credenziali di accesso, inviandogli via e-mail una nuova password. Inserite le nuove credenziali, i frodatori accedevano all’account ed eseguivano un giroconto di € 2.100,00 dal libretto cointestato verso una carta prepagata personale e, da questa, un pagamento di € 230,00 verso un indirizzo di commercio elettronico con sede a Madrid.

Il ricorrente bloccava la carta, presentava denuncia il 13.11.2025 e reclamo il 14.11.2025, riscontrato negativamente, e domandava il rimborso dell’operazione contestata. L’intermediario eccepiva l’inammissibilità del ricorso, sostenendo l’avvenuta autenticazione forte dell’operazione e la colpa grave del cliente per aver condiviso codici e credenziali.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e richiama l’art. 10 sul riparto dell’onere probatorio, secondo la lettura del Collegio di Coordinamento n. 22745/2019. La SCA è disciplinata dagli artt. 97 e 98 della PSD2, dall’art. 10-bis del d.lgs. n. 11/2010 e dal Regolamento Delegato UE 2018/389, con i criteri interpretativi dell’EBA.

Quanto all’operazione di giroconto, il Collegio richiama il principio del Collegio di Coordinamento n. 8671/2024: i pagamenti tra conti dello stesso titolare presso lo stesso intermediario possono essere sottratti all’obbligo di SCA anche se hanno costituito la provvista di successive operazioni fraudolente. Resta possibile una responsabilità dell’intermediario ai sensi dell’art. 11 del d.lgs. n. 11/2010 o dell’art. 1218 cod. civ., ma solo in presenza di perdite dirette e immediate o di negligenza dimostrata, circostanze che nel caso non ricorrono. L’analisi si concentra quindi sul solo pagamento di € 230,00.

Dai log risulta che la carta era attiva e associata al numero indicato nella denuncia. L’OTP è stato ricevuto sul telefono del ricorrente e da questi comunicato al frodatore. Sebbene il frodatore avesse attivato l’applicazione su un secondo dispositivo, il device identificativo dell’operazione contestata corrisponde a quello originario del ricorrente: l’operazione è stata validata con notifica push sul suo dispositivo e con l’inserimento del codice personale.

Il Collegio esclude lo spoofing e ravvisa la colpa grave del cliente. Il messaggio proveniva da un numero non riconducibile all’intermediario, non era inserito in una chat con precedenti messaggi genuini, indicava un recapito di assistenza estraneo e conteneva un errore grammaticale nella parola “ALLERT”. L’orario e il giorno della settimana del messaggio erano inoltre difformi dalla ricostruzione tecnica. Richiamate le decisioni ABF Milano nn. 1108/2023 e 2036/2023, il Collegio ritiene il servizio di notifica push equiparabile all’sms-alert e rigetta il ricorso.