Colpa grave dell’utente esclude il rimborso per truffa via spoofing e vishing (ABF Collegio di Palermo n. 2911 del 01.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, l’art. 10, comma 1, d.lgs. n. 11/2010 pone sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Il successivo art. 10, comma 2 precisa però che la prova dell’avvenuta autenticazione non dimostra di per sé che il cliente abbia autorizzato l’operazione, né che abbia agito con dolo o colpa grave: è sempre l’intermediario a dover fornire la prova della frode, del dolo o della colpa grave dell’utente. Il quadro si completa con l’art. 12, comma 2-bis, che esclude qualsiasi perdita a carico del pagatore in assenza di autenticazione forte (SCA). Accertata l’adozione di una SCA regolare, il rimborso è dovuto solo se non ricorre il comportamento gravemente colposo del titolare dello strumento.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario, riferisce di essere stata contattata telefonicamente da un sedicente operatore della banca, che la informava di accessi anomali e operazioni sospette. Ricontattata sulla propria utenza mobile, la cliente veniva indotta, con tono incalzante e con la prospettiva di mettere in sicurezza il conto, a installare sul proprio computer l’applicazione TeamViewer, consentendo così ai truffatori l’accesso remoto al dispositivo.

Dopo due SMS recanti la dicitura di avvenuto annullamento di bonifici da euro 14.900,00, la ricorrente apprendeva in seguito che erano stati disposti due bonifici dello stesso importo verso soggetti sconosciuti, per complessivi euro 29.800,00, che disconosceva formalmente. Chiedeva quindi all’ABF la condanna dell’intermediario all’integrale rimborso.

La motivazione del Collegio

Il Collegio ricostruisce il riparto dell’onere probatorio richiamando gli artt. 7, 10 e 12 del d.lgs. n. 11/2010, come modificati dal d.lgs. n. 218/2017 in recepimento della direttiva PSD2. Sull’intermediario grava la prova della autenticazione forte e, in seconda battuta, della colpa grave dell’utente. Richiamando anche il Collegio di Coordinamento n. 22745 del 10 ottobre 2019, il Collegio ribadisce che tali passaggi sono ineludibili.

Quanto al primo profilo, l’intermediario ha prodotto tracciature informatiche dettagliate: l’accesso all’home banking è avvenuto con le credenziali personali della cliente e con codice OTP inviato all’utenza certificata, e le disposizioni risultano inserite nella medesima sessione con riutilizzo del fattore di conoscenza e nuovo OTP. Il Collegio ritiene quindi assolto l’onere probatorio in ordine all’adozione della SCA.

Verificata l’autenticazione, il Collegio esamina il profilo soggettivo e ravvisa la colpa grave della ricorrente. La cliente ha seguito tutte le indicazioni del truffatore, mentre una media diligenza avrebbe evitato l’esito: lo schema della truffa è “tipico e ampiamente noto” e il Collegio richiama sul punto la giurisprudenza arbitrale (Collegio di Milano 12572/22, Collegio di Torino 3625/23). Gli SMS ricevuti presentavano evidenti anomalie formali, quali errori nella denominazione dell’intermediario, assenza di punteggiatura e formattazione scorretta degli importi, e provenivano da una chat intestata “INFO”. Grava inoltre sulla cliente aver scaricato l’applicazione di accesso remoto, consentendo al truffatore piena operatività.

Il Collegio esclude infine profili di responsabilità dell’intermediario: risulta provata l’attivazione del servizio di sms alert per le operazioni contestate e non emergono indici di anomalia. Le deduzioni sull’asserita atipicità degli importi sono state formulate solo in repliche, senza estratti conto a supporto. Il ricorso non è quindi accolto.