Spoofing e phishing: SCA provata, colpa grave del cliente, rimborso parziale (ABF Collegio di Palermo n. 3644 del 23.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’intermediario che fornisca la prova dell’autenticazione forte (SCA) delle operazioni tramite dispositivo personale univocamente associato al conto soddisfa il primo onere probatorio ex art. 10 del d.lgs. n. 11/2010. In presenza di truffe da spoofing e phishing, il cliente che aderisca alle istruzioni del sedicente operatore integra colpa grave, salvo che il messaggio civetta presenti indici di inattendibilità. Il D.M. n. 112/2007 non ha valore precettivo diretto in tema di operazioni non autorizzate, ma esprime un generale obbligo di monitoraggio. La liquidazione del danno avviene tramite giudizio sintetico che distribuisce in concreto il concorso di colpa sull’intero ammontare disconosciuto.

Il Fatto

Il ricorrente subiva il disconoscimento di un bonifico istantaneo di euro 10.000,00 e di un pagamento mediante carta di debito di euro 4.980,00, eseguiti il 26 settembre 2025 per una somma complessiva di euro 14.980,00, chiedendone la restituzione insieme agli interessi. La vicenda originava da un sms civetta inserito nella cronologia di comunicazione ufficiale dell’intermediario, che induceva il cliente a contattare un sedicente operatore il quale, prospettando un tentativo di clonazione della carta a Madrid, lo convinceva a trasferire i fondi per presunte ragioni di sicurezza.

Dopo aver esperito invano la fase di reclamo, il ricorrente adiva l’Arbitro deducendo la mancanza di consenso, la violazione degli obblighi di vigilanza e la carenza di sistemi di alert. L’intermediario eccepiva che le operazioni erano state autenticate in-app dal cliente tramite dispositivo personale e invocava la colpa grave dell’utente, avendo lo stesso aderito alle istruzioni dei frodatori nonostante le campagne informative antifrode.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nel d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, la fonte dell’onere probatorio a carico del prestatore di servizi di pagamento. La prova dell’autenticazione costituisce, secondo l’orientamento condiviso dei Collegi richiamato anche dal Collegio di Coordinamento n. 22745/2019, l’antecedente logico rispetto alla prova della colpa grave.

Quanto al bonifico istantaneo di euro 10.000,00, i log informatici prodotti dall’intermediario dimostrano l’utilizzo del PIN di conferma (fattore di conoscenza) e dell’app autenticata sul device personale (fattore di possesso). Per il pagamento online di euro 4.980,00, il processo 3D Secure e la notifica push sul dispositivo univocamente associato al conto confermano la medesima conclusione. L’autenticazione forte risulta dunque provata per entrambe le operazioni.

Passando alla colpa grave, il Collegio valorizza la ricostruzione della querela, dalla quale emerge che il ricorrente contattò spontaneamente il numero indicato nell’sms civetta. Il messaggio, apparentemente genuino e inserito nel canale abituale, non presenta però evidenti indici di inattendibilità. Nelle fattispecie di spoofing non è generalmente ravvisabile la colpa grave del cliente, salvo che ricorrano indici di anomalia del messaggio. Nel caso concreto il Collegio ritiene che le operazioni siano state predisposte dai truffatori con cooperazione inconsapevole del cliente, ma rileva la negligenza dello stesso nell’adesione alle istruzioni ricevute.

Quanto agli obblighi dell’intermediario, il Collegio esclude la rilevanza della mancata attivazione di sistemi di alert, essendo state inviate le notifiche push. Non sono rinvenibili gli indici di anomalia del D.M. n. 112/2007, che comunque non ha valore precettivo diretto in materia. La censura relativa alla mancata verifica della corrispondenza tra IBAN e beneficiario è infondata, essendo l’obbligo introdotto dal Regolamento (UE) 2024/886 con applicazione dal 9 ottobre 2025, successiva alle operazioni contestate.

Il Collegio procede quindi a una distribuzione in concreto del concorso di colpa, richiamando i propri precedenti (Collegio di Palermo n. 4200/2024 e n. 4148/2024) che hanno stabilito la restituzione del 20% degli importi disconosciuti salvo diversa distribuzione. La somma dovuta è pertanto pari a euro 2.996,00, oltre interessi legali dalla data del reclamo, con contributo di euro 200,00 alla Banca d’Italia e rimborso di euro 20,00 al ricorrente.