Chi riceve un SMS sospetto apparentemente inviato dalla propria banca e non controlla subito conto corrente e app rischia di perdere il diritto al rimborso delle operazioni fraudolente compiute nelle settimane successive, anche se ha subito un vero smishing e la banca non riesce a dimostrare nulla di diverso dai propri log. Lo ha stabilito il Collegio di Milano dell’Arbitro Bancario Finanziario, decidendo il ricorso n. 1419113 nella seduta del 29 gennaio 2026.
Lo smishing e le 65 operazioni con carta di credito
Il 24 luglio 2024 un cliente riceveva un SMS che sembrava provenire dalla propria banca, con un link a un portale che riproduceva fedelmente il sito ufficiale. Convinto di trovarsi sul canale reale, inseriva le proprie credenziali e riceveva un codice OTP per completare l’accesso. In realtà stava consegnando i propri dati a chi aveva orchestrato la frode. Tra il 26 luglio e il 22 agosto 2024 venivano eseguite 65 operazioni non autorizzate su piattaforme di e-commerce con la sua carta di credito, per un importo complessivo di 2.207,66 euro, di cui 344,83 euro già rimborsati dal prestatore dei servizi di pagamento. Il cliente si accorgeva della vicenda solo il 24 agosto, un mese dopo il primo SMS, e disconosceva le operazioni. La banca dimostrava che tutte erano state autenticate correttamente, con password e OTP via SMS oppure con riconoscimento biometrico.
Perché l’ABF ha respinto il ricorso
Il Collegio ha riconosciuto che il cliente è stato vittima di una frode reale, rilevando «che il cliente sia stato vittima di uno spoofing seppure non sofisticato». Questo non è bastato a far accogliere il ricorso. Per l’Arbitro, il cliente ha tenuto «una grave negligenza (…) che ha omesso di monitorare il proprio conto tanto più che, in ogni caso, il messaggio civetta, comunicandogli la necessità di confermare i propri dati, lo avrebbe dovuto comunque allarmare in ordine alla regolare funzionalità della carta». Il punto decisivo non è stato l’inganno iniziale, difficilmente evitabile per chi riceve un SMS ben costruito, ma il mese trascorso senza che il cliente verificasse la situazione della propria carta, mentre le operazioni fraudolente proseguivano. Il Collegio ha concluso che «ove avesse diligentemente e prudentemente controllato il proprio conto (le cui risultanze egli poteva verificare anche tramite App) avrebbe potuto procedere ben prima al blocco della carta evitando il protrarsi dell’attività truffaldina», e ha respinto il ricorso.
Cosa cambia in pratica per chi riceve un SMS sospetto dalla banca
La decisione ribalta l’angolo con cui di solito si guarda a queste vicende. Non basta essere stati davvero ingannati da un messaggio che imita la banca, perché il diritto al rimborso può comunque arretrare di fronte all’inerzia successiva del cliente. Un SMS che chiede di “confermare i propri dati” per un presunto problema con la carta, anche quando non porta a un danno immediato, è già di per sé un segnale che la carta o l’account potrebbero essere compromessi. La reazione corretta è controllare subito i movimenti, tramite app o home banking, ed eventualmente bloccare la carta in via cautelativa, non aspettare che compaia un addebito riconoscibile come fraudolento. Chi lascia passare settimane rischia di vedersi opporre, come in questo caso, che il rimborso spettava solo fino al momento in cui un controllo diligente avrebbe permesso di fermare la frode.