Smishing e vishing tradizionali: la media diligenza basta a escludere il rimborso (ABF Collegio di Bologna n. 4259 del 12.05.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento a distanza, l’intermediario deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10, d.lgs. n. 11/2010. Fornita tale prova, il rischio dell’operazione fraudolenta resta a carico dell’intermediario salvo che questi dimostri il dolo o la colpa grave dell’utilizzatore, in violazione degli obblighi di cui all’art. 7 del medesimo decreto. La colpa grave può essere provata anche per presunzioni, purché gli indizi siano gravi, precisi e concordanti ex art. 2729 c.c.. Nel caso di smishing misto a vishing tradizionale, ampiamente noto, l’impiego della media diligenza è sufficiente a evitare la truffa: è gravemente colposo l’utente che risponde a un SMS proveniente da un numero non riconducibile all’intermediario, comunica i dati della carta e autorizza la notifica PUSH.

Il Fatto

La ricorrente, titolare di un conto corrente e della relativa carta di pagamento, riceveva sul cellulare un SMS apparentemente proveniente dall’intermediario, che segnalava una transazione respinta di € 980,00 e invitava a contattare un numero del sedicente servizio sicurezza. Convinta della genuinità del messaggio, la ricorrente chiamava il numero indicato e, indotta da un falso operatore a «bloccare le operazioni fraudolente», comunicava il numero della carta, il codice CVV e la scadenza. Accedendo poi all’home banking notava un pagamento online di € 577,80 presso un esercente; a quel punto chiedeva conferma all’interlocutore, che ammetteva la truffa.

La ricorrente sportava denuncia, disconosceva l’operazione e chiedeva il rimborso, che l’intermediario negava riaddebitando l’importo. Esperito il reclamo, con esito negativo, la ricorrente adiva l’ABF chiedendo in via principale la restituzione di € 577,80 e, in via subordinata, il riconoscimento di un concorso di colpa con rimborso del 50%. L’intermediario eccepiva l’avvenuta autenticazione mediante PIN e OTP e l’assenza di anomalie.

La motivazione del Collegio

Il Collegio ricostruisce la fattispecie come smishing misto a vishing e richiama la distinzione tra operazioni autorizzate con intervento parziale del pagatore e operazioni eseguite per intero dall’utente. Poiché nel caso di specie il concorso causale della ricorrente è integrale — comunicazione dei dati della carta, accesso all’app e inserimento del PIN in risposta alla notifica PUSH — si applicano la PSD2 e il d.lgs. n. 11/2010.

Il Collegio richiama quindi la sequenza degli oneri probatori: spetta anzitutto all’intermediario provare l’autenticazione, la registrazione e la contabilizzazione dell’operazione; solo in caso di prova contraria va verificata l’eventuale colpa grave dell’utente, altrimenti il rischio resta a carico dell’intermediario ex art. 12 d.lgs. n. 11/2010. Nel caso concreto l’intermediario produceva il Foglio Tracciatura, il foglio delle notifiche PUSH e il Foglio Validazione OTP, dimostrando che l’operazione era stata validata con codice dinamico generato sul device associato al profilo della ricorrente, con inserimento del PIN. Sussistono dunque i requisiti della «Conoscenza» e del «Possesso».

Passando alla colpa grave, il Collegio richiama l’art. 2729 c.c. e la possibilità di prova presuntiva, citando Cass. civ., Sez. II, n. 654 del 18 gennaio 2010. Esaminati gli indizi, il Collegio rileva che l’SMS civetta proveniva da un numero di cellulare privato, non riconducibile all’intermediario, e non era inserito nella chat genuina; che la ricorrente ha ammesso di aver approvato la notifica PUSH, peraltro «parlante» perché riportava importo, beneficiario e strumento; e che ha comunicato spontaneamente i dati della carta.

In adesione all’orientamento consolidato — richiamando i precedenti del Collegio di Bologna n. 14643/2019 e n. 492/2026 — il Collegio afferma che, nel caso di smishing/vishing tradizionale ormai ampiamente noto, l’impiego della media diligenza è sufficiente a scongiurare il pericolo: la ricorrente non avrebbe dovuto rispondere a un numero non riferibile all’intermediario né comunicare i dati della carta. La colpa grave è dunque dimostrata e il ricorso è non meritevole di accoglimento.