Il Collegio di Bari dell’Arbitro Bancario Finanziario, con decisione n. 3138 del 10 aprile 2026 (Pres. A. Tucci, Rel. F. Quarta), ha rigettato la domanda di rimborso avanzata da un cliente vittima di una frode informatica realizzata mediante vishing, ritenendo provata la colpa grave del ricorrente e pertanto inadempiuti gli obblighi di conservazione dei codici di sicurezza posti dalla legge in capo all’utilizzatore.
Nel caso di specie, il ricorrente aveva disconosciuto 15 operazioni di pagamento tramite bollettini CBILL e un pagamento con carta di debito, eseguiti il 21 giugno 2024 per un totale di € 16.259,07.
Dalla denuncia presentata alle FF.OO. emergeva che il ricorrente aveva ricevuto un SMS contenente un codice di attivazione dell’app bancaria su un nuovo dispositivo, seguito da una telefonata da un’utenza apparentemente riconducibile all’intermediario. L’interlocutore lo aveva informato di presunte operazioni sospette sul conto, convincendolo a eseguire una “procedura operativa” per bloccare i pagamenti e stornare le somme, e successivamente a disinstallare l’app ufficiale per un presunto virus. Il ricorrente aveva dato seguito a tutte le istruzioni, vidimando le notifiche push ricevute sul proprio dispositivo.
Il Collegio ha preliminarmente richiamato il quadro normativo della PSD2 e il consolidato orientamento del Collegio di coordinamento (decisione n. 9559/2024), ribadendo che “di fronte al disconoscimento delle operazioni di pagamento effettuato dall’utente, si deve innanzitutto verificare che l’intermediario abbia assolto l’onere, posto a suo carico dall’art. 10, d.lgs. 11/2011, di dimostrare che l’operazione di pagamento è stata effettuata mediante uso della SCA in tutte le fasi rilevanti”.
Nel caso di specie, l’intermediario ha adempiuto a tale onere, producendo un file di “tracciature informatiche” dal quale risultava che tutte le operazioni disconosciute erano state eseguite nel rispetto dei requisiti di conoscenza (codice OTP dinamico generato a seguito della digitazione del PIN) e di possesso (APP installata sul dispositivo univocamente associato al conto del ricorrente).
Accertata la SCA, il Collegio ha valutato la condotta del cliente. Ha rilevato che le numerose notifiche push inviate dall’intermediario come “Stai autorizzando il pagamento della bolletta CBILL per un importo di € […] sul sito“, precedute da avvisi di accesso da browser non utilizzato di recente, erano “sufficientemente eloquenti dello stato di avanzamento delle singole fasi dell’operatività disconosciuta” e tuttavia erano state vidimate dal ricorrente tramite l’app.
Ha inoltre valorizzato un dato decisivo: la variazione del device associato al conto risultava riscontrabile solo dalle ore 12:54 del 21 giugno 2024, ossia successivamente all’esecuzione di tutte le operazioni contestate, escludendo così che queste fossero state disposte da un dispositivo sottratto o compromesso da terzi.
Il ricorso è stato pertanto rigettato integralmente, con il Collegio che ha concluso nel senso che il ricorrente, pur sotto l’effetto dei raggiri del frodatore, avrebbe potuto tempestivamente impedire il susseguirsi degli eventi lesivi e non lo ha fatto, integrando una condotta gravemente colposa ai sensi del D.lgs. n. 11/2010.
