Colpa grave del cliente esclude rimborso per vishing e operazioni sotto dettatura (ABF Collegio di Roma n. 2744 del 26.03.2026)

Principi di diritto (Massima)
In tema di vishing, non integra un’operazione di pagamento non autorizzata quella eseguita dal cliente che, indotto in errore da un sedicente operatore, segua le istruzioni ricevute e autorizzi personalmente le transazioni tramite i fattori di autenticazione forte del proprio dispositivo. Il percorso autorizzativo risulta rispettato quando le notifiche push giungono sull’app associata al dispositivo del titolare e l’operazione è convalidata con fattore biometrico, sì che sono soddisfatti i requisiti di possesso e di inerenza. In tal caso, la condotta del cliente che riveli dati e segua richieste evidentemente anomale integra colpa grave, con conseguente esclusione dell’obbligo di rimborso a carico dell’intermediario.

Il Fatto

La ricorrente, una società in persona della legale rappresentante, chiedeva il rimborso di Euro 928,00 per tre operazioni on-line eseguite con la carta emessa dalla resistente. Secondo la ricostruzione, il 28 luglio 2025 la rappresentante aveva ricevuto una chiamata da un’utenza privata: un sedicente operatore dell’ufficio antifrode segnalava movimenti insoliti e induceva la cliente a seguire le istruzioni impartite, nella convinzione di procedere allo storno dei pagamenti sospetti.

L’indomani la ricorrente accertava l’esecuzione delle tre transazioni. L’intermediario eccepiva che una di esse, pari a Euro 72,50, era già stata stornata mediante chargeback, riducendo la pretesa a Euro 855,50. Nel merito, la resistente sosteneva che le operazioni fossero state personalmente autorizzate dalla cliente e che la stessa avesse ricevuto gli alert sul numero indicato all’attivazione del servizio.

La motivazione del Collegio

Il Collegio ha anzitutto perimetrato l’oggetto del giudizio, ritenendo pacifico tra le parti che la pretesa fosse ormai ridotta a Euro 855,50 per effetto dello storno già operato. Ha poi affrontato la questione centrale: se l’operazione materialmente compiuta dalla ricorrente potesse considerarsi, alla stregua della disciplina primaria e secondaria, effettivamente autorizzata.

Dall’app bancaria è emerso che il percorso autorizzativo tramite notifiche push fu effettivamente seguito e che la ricorrente eseguì le istruzioni provenienti da un’utenza privata non riconducibile né alla resistente né alla banca di radicamento del conto. In casi analoghi lo stesso Collegio ha ravvisato gli estremi della colpa grave, essendosi il cliente prestato a richieste evidentemente anomale e rivelando a terzi ignoti dati riservati. Il Collegio ha richiamato la propria decisione n. 6036/2022, che a sua volta cita la decisione n. 12091/2021, nonché la decisione n. 9667/2023, che valorizza come indice di grave negligenza l’invio del messaggio-esca su una chat estranea alla posizione dell’intermediario.

Il Collegio ha poi escluso vizi del processo di autenticazione. L’app della ricorrente è sempre rimasta associata al medesimo dispositivo, cosicché solo i soggetti originariamente autorizzati hanno potuto operare tramite essa, e su di essa si è compiuta ogni fase della procedura autorizzativa. I log di sistema depositati dalla resistente hanno permesso di ritenere rispettati tanto il fattore di possesso, tramite le notifiche push, quanto quello di inerenza, tramite la biometria.

Ne è derivata la qualificazione dell’operazione come debitamente autorizzata e autenticata, con esclusione di alcun profilo di responsabilità dell’intermediario nella truffa subita. Il ricorso è stato pertanto respinto.