Novità · Frodi e phishing
Phishing con sito clone e pagamenti confermati nell’app: l’ABF respinge il ricorso (decisione 10687/2025)
Avv. Renato Giuseppe Fiorentino · Aggiornato il 25 ottobre 2026 · Lettura 5 min
In 30 secondi
Con la decisione n. 10687 del 5 dicembre 2025 il Collegio di Bologna dell’ABF ha respinto il ricorso di una cliente vittima di phishing, che chiedeva il rimborso di 998 euro.
I pagamenti erano stati confermati dalla cliente nell’app, con notifica e riconoscimento biometrico. Il Collegio ha scritto che, senza prove del raggiro, come il messaggio e il link falso, il ricorso non può essere accolto. Abbiamo letto la decisione per intero.
Riferimenti
ABF Bologna, decisione n. 10687/2025D.lgs. 11/2010Autenticazione forte (SCA)
Il caso
Il 27 aprile 2025 una cliente riceve un PDF in una chat di una piattaforma di compravendita online. Nel file c’è un link. Il link porta a un sito che imita quello della banca, e lei inserisce le credenziali.
Seguono due pagamenti da 499 euro ciascuno, a distanza di circa venti minuti, per 998 euro in tutto. Tra i due la cliente ricarica il conto di 499 euro, somma poi spesa interamente nel secondo pagamento. Le operazioni erano verso un beneficiario del gruppo bancario, per l’acquisto di criptovaluta. Erano state confermate con notifica nell’app e riconoscimento biometrico.
La cliente sosteneva che le operazioni non fossero autorizzate e che il suo consenso fosse viziato dal raggiro. La banca rispondeva che le operazioni erano autorizzate, con autenticazione forte, e che la cliente aveva inserito dati su un link sospetto. Aggiungeva che mancavano il PDF e la schermata del sito falso.
Che cosa ha deciso l’ABF
«Il Collegio non accoglie il ricorso». Nessun rimborso.
I principi scritti nella decisione sono questi. Un’operazione eseguita per intero dal pagatore, inserendo la disposizione e tutti i fattori di autenticazione, va considerata autorizzata e resta fuori dal regime delle operazioni non autorizzate. La banca non ha una responsabilità oggettiva, cioè automatica. Può però esserci una responsabilità concorrente, secondo le regole generali, se la banca ha contribuito al danno.
Il Collegio ha visto una colpa grave nell’avere inserito i propri dati in link sospetti. Ha anche notato che la ricarica del conto dopo il primo pagamento faceva pensare che la cliente stesse seguendo istruzioni di altri. Ha infine scritto che la mancata allegazione di prove del phishing, come il messaggio civetta o il link, porta al rigetto.
Le norme spiegate
La decisione parla del regime dei servizi di pagamento e dell’autenticazione forte senza citare articoli precisi. Per capirla ti diamo il quadro del decreto legislativo 27 gennaio 2010, n. 11, nel testo vigente al 20 ottobre 2026 su Normattiva.
- Autenticazione forte (art. 1, lettera q-bis): due o più elementi indipendenti tra conoscenza, possesso e inerenza. Qui: credenziali, app sul telefono, impronta o volto.
- Operazioni non autorizzate (artt. 10 e 12): se l’operazione non è autorizzata, la banca deve provare l’autenticazione e il cliente di regola perde al massimo 50 euro, salvo dolo o colpa grave.
- Il punto decisivo: se l’operazione è stata confermata dal cliente stesso, la si considera autorizzata. Allora il rimborso si cerca su un’altra strada, quella della responsabilità della banca secondo le regole generali, e servono prove.
Cosa insegna
Chi cade nel phishing e conferma lui stesso i pagamenti ha una strada in salita. Non è impossibile, ma la prova conta più di tutto. Questa decisione si regge sulla mancanza di documenti.
Per questo conta cosa fai nelle prime ore. Fai le schermate del messaggio, del link e della chat prima che spariscano. Segna gli orari. Non cancellare nulla.
Cosa non abbiamo letto
Abbiamo letto la decisione per intero. Non abbiamo letto i precedenti citati, come la decisione del Collegio di coordinamento n. 8671/2024. La decisione del Collegio di Bologna n. 5775/25 citata dalla banca non è ancora pubblicata. Nel testo non ci sono articoli specifici del decreto 11/2010 per questi passaggi: le regole che descriviamo sono lette su Normattiva e vanno verificate sul tuo caso.
La soluzione migliore per te
- Subito dopo il raggiro: chiama la banca, blocca conto e app, e fai denuncia.
- Nelle ore dopo: salva schermate del messaggio, del link, del sito falso, della chat e dei numeri di telefono. Sono la prova che manca nei ricorsi respinti.
- Con la banca: reclamo scritto con la cronologia e tutti gli allegati. Se rifiuta, valuta ABF o giudice con un avvocato.
Cosa fare subito: non cancellare niente e metti in ordine data, ora e importo di ogni operazione. Nessuna strada garantisce un esito.
Come può seguirti l’avv. Fiorentino
- Ti dice quali prove raccogliere e come conservarle.
- Scrive il reclamo con la ricostruzione dei fatti.
- Valuta ABF, trattativa o causa in base ai documenti.
Domande frequenti
Se ho confermato io il pagamento posso avere il rimborso?
Non è escluso, ma è difficile. L’operazione si considera autorizzata, e servono prove del raggiro e di un contributo della banca.
Quali prove servono nel phishing?
Il messaggio o la chat, il link, la schermata del sito falso, gli orari e la denuncia.
Cliccare su un link è colpa grave?
Per il Collegio di Bologna in questo caso sì: ha scritto che inserire i dati in link sospetti è colpa grave. Ogni caso dipende dai fatti.
Guide collegate
Sei caduto in un phishing?
Ogni situazione va valutata sui documenti del caso concreto. Puoi rivolgerti allo Studio da tutta Italia, anche senza venire in studio: la consulenza si svolge a distanza, con i documenti inviati online, per telefono, su WhatsApp o in videochiamata. Sedi a Napoli (Piazza Giovanni Bovio 22 e Via Monte di Dio 14), Roma e Bari, su appuntamento.
Contenuto informativo aggiornato il 25 ottobre 2026. Non costituisce parere legale e non promette alcun esito. Testo redatto con l’aiuto dell’intelligenza artificiale e rivisto dall’avvocato.
Pagina principale della materia: Banche e prodotti finanziari: tutte le guide e come contattare lo studio →
Per approfondire
Leggi anche