N. R.G. 1088/2020
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
IL TRIBUNALE DI ISERNIA
in persona del Giudice unico, dott.ssa Simona Di Paolo ha pronunciato la seguente
SENTENZA
nella causa civile in grado di appello, iscritta al n° 1088/2020 RG del Tribunale di Isernia, trattenuta in decisione all'udienza del 6.11.2025 promossa da in persona dell'Amministratore Delegato p.t. Dott. Parte_1 Parte_2 rappresentata e difesa congiuntamente e disgiuntamente dagli Avv.ti Massimiliano Cesare ed Alfonso
Pisanzio, ed elettivamente domiciliata presso la casella pec;
Email_1
APPELLANTE nei confronti di
, rappresentata e difesa dall'avv. Mino Bemb, con studio in Marina di Controparte_1
Minturno (LT), via Pietro Fedele snc
APPELLATA CONTUMACE avente ad oggetto: Altri istituti e leggi speciali
Conclusioni come da verbale di udienza del 6.11.2025
pagina 1 di 6 FATTO E DIRITTO
Con atto di citazione ritualmente notificato ha proposto appello avverso la sentenza n. Parte_1
136/2020 del 09.04.2020 emessa dal Giudice di Pace di Venafro, non notificata, con la quale il giudice di prime cure aveva ritenuto fondata la domanda proposta dalla e condannato CP_1 CP_2
(cui è, poi, succeduta ) al risarcimento, in suo favore, della somma di € 1.076,00 oltre alle CP_3 spese di lite, ritenendo l'odierna appellata responsabile per la negligenza nella condotta tenuta in occasione della procedura di verifica delle misure idonee a garantire la sicurezza del servizio, nel momento in cui accettava i prelievi sulla carta “postepay evolution” dell'attrice, truffata on line attraverso l'invio di una mail civetta volta a farle inserire i dati privati della propria carta.
In particolare, l'appellante ha rappresentato che la IG.ra , avrebbe reso possibile il Controparte_1
c.d. fenomeno di “phishing” a causa della negligenza nel cedere le credenziali personali di accesso a terzi, inserendole nel link informatico ricevuto con la mail “civetta”, affermando che, al contrario,
non solo effettua campagne di sensibilizzazione circa possibili truffe, al fine di informare i Pt_1 clienti a non comunicare a terzi password o codici di accesso ma che ha anche adeguati standard di sicurezza, come attestato da Consulenza tecnica di parte in atti.
L'appellata, nonostante il perfezionamento della notifica, non si è costituita in giudizio e deve, pertanto, esserne dichiarata la contumacia.
La causa non è stata ulteriormente istruita in sede di appello e pervenuta, infine, alla scrivente giudice è stata trattenuta in decisione all'udienza del 6.11.2025, previa concessione di termini ridotti ex art. 190 comma 2 c.p.c..
***
Nel merito l'appello proposto deve trovare accoglimento per i motivi di seguito esplicati.
La presente controversia ha ad oggetto la responsabilità delle per l'utilizzazione fraudolenta, ad Pt_1 opera di terzi ignoti, di uno strumento di pagamento.
La disciplina applicabile a tale fattispecie è oggi contenuta nel d.lgs. 27 gennaio 2010, n. 11, il quale ha attuato nell'ordinamento giuridico italiano la direttiva 2007/64/CE relativa ai servizi di pagamento nel mercato interno europeo.
In particolare, il decreto legislativo sopra citato alloca in capo all'istituto di credito e, in generale, in capo ai prestatori di servizi di pagamento, i rischi derivanti dalle condotte fraudolente dei terzi che simulano un consenso del pagatore, dando avvio ad una operazione non voluta dal titolare delle pagina 2 di 6 somme: infatti, alla luce del complessivo impianto normativo, i prestatori di servizi di pagamento sono considerati come coloro che devono prevenire i rischi connessi alla trasmissione del consenso e, di conseguenza, rientrano nella loro sfera giuridica (cd. rischio d'impresa) sia l'obbligo di assicurare che le credenziali di autenticazione fornite ai propri clienti non siano accessibili a soggetti diversi dall'utente abilitato a usare lo strumento di pagamento sia i rischi derivanti dalla spedizione di uno strumento di pagamento o delle relative credenziali di sicurezza (artt.8 e 11 del d.lgs. n.11/2010).
L'art. 12, comma 3, del citato decreto prevede, poi, che «salvo il caso in cui abbia agito con dolo o colpa grave ovvero non abbia adottato le misure idonee a garantire la sicurezza dei dispositivi personalizzati che consentono l'utilizzo dello strumento di pagamento, prima della comunicazione eseguita ai sensi dell'art. 7, 1° comma, lett. b), l'utilizzatore medesimo può sopportare per un importo comunque non superiore complessivamente a € 150,00 la perdita derivante dall'utilizzo indebito dello strumento di pagamento conseguente al suo furto o smarrimento». Ai sensi di tale disposizione, quindi, il prestatore di servizi di pagamento può escludere la propria responsabilità per l'utilizzo non autorizzato di uno strumento di pagamento soltanto provando la colpa grave (o il dolo) dell'utilizzatore, la quale costituisce un fatto impeditivo del risarcimento del danno, ai sensi dell'art. 2697, comma 2, c.c.
Sul punto, anche la giurisprudenza di legittimità, infatti, ha affermato che la responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell'utilizzazione illecita dei relativi codici da parte di terzi, ha natura contrattuale e può essere esclusa solo se ricorra una situazione di colpa grave dell'utente (cfr. Cass. civ., n.3780/2024; Cass. civ., n.18045/2019; Cass. civ.
n.26916/2020).
Poiché il fine ultimo è quello di garantire la fiducia degli utenti nella sicurezza del sistema, la possibilità della sottrazione dei codici del correntista, attraverso tecniche fraudolente, deve rientrare nell'area del rischio di impresa, destinato ad essere fronteggiato attraverso l'adozione di misure che consentano di verificare, prima di dare corso all'operazione, se essa sia effettivamente attribuibile al cliente. Ai fini del rigetto della domanda risarcitoria, quindi, non è sufficiente dare rilievo ad un incauto comportamento dell'utente che avrebbe consentito la sottrazione dei codici, posto che la “colpa grave” cui fanno riferimento anche i giudici di legittimità nelle pronunce sopra citate, è costituita, invece, da una «straordinaria e inescusabile» imprudenza, negligenza o imperizia, la quale presuppone che sia stata violata non solo la diligenza ordinaria del buon padre di famiglia di cui all'art. 1176, comma 1,
c.c., ma anche «quel grado minimo ed elementare di diligenza generalmente osservato da tutti» (Cass. 3 maggio 2011, n. 913; Cass. 19 novembre 2001, n. 14456). Secondo la stessa Corte di Cassazione, inoltre, la prova della sussistenza della colpa grave può essere fornita anche per mezzo di presunzioni, pagina 3 di 6 purché queste, com'è noto, siano gravi, precise e concordanti secondo quanto dispone l'art. 2729 c.c.
(cfr. Cass. 18 gennaio 2010, n. 654).
***
Come già evidenziato, costituisce circostanza pacifica che la sig.ra , in data 28.12.2017 CP_1 riceveva una mail da “servizi informativi ” con la quale le veniva comunicato che fosse necessario Pt_1 procedere all'aggiornamento obbligatorio dei suoi dati e la si invitava pertanto a cliccare su apposito link per eseguire quanto richiesto;
che la richiesta, prontamente evasa dalla sig.ra , prevedeva CP_1 anche l'inserimento dei dati della Carta;
che, a seguito di verifica dell'estratto conto della Carta in data
3.1.2018, l'attrice si avvedeva che nei giorni tra il 29 e il 30.12.17 erano stati eseguiti otto pagamenti on line per complessivi € 1.076,66, non riferibili alla stessa e per i quali veniva anche sporta denuncia.
A sostegno della propria difesa, la parte odierna appellante ha dedotto la colpa grave delle Bellavita: nell'aver cliccato sul link del cd. “messaggio civetta”; nell'aver fornito le proprie credenziali di sicurezza e, nella circostanza per cui, nella circostanza per cui la Carta risultava essere securizzata in quanto associata al cellulare della cliente (3474072604) e l'esecuzione delle transazioni sui siti dei terzi esige necessariamente, per essere finalizzata, una conferma da parte della cliente, sicchè la CP_1 avrebbe ricevuto i codici di sicurezza per mezzo dei quali sono state confermate le transazioni. Ha concluso, quindi, l'appellante sostenendo che l'origine dei danni patiti dalla sarebbe da CP_1 ricercarsi nella condotta ingenua della stessa, la quale ha fornito tutti i dati della Carta ed i codici dispositivi segreti, nonostante tutte le avvertenze presenti sui canale web della società, nonché contenute nelle locandine posizionate in tutti gli Uffici Postali e diramate attraverso i mass-media.
***
Va sottolineato che il legislatore, come già detto, ha allocato, in via generale, sugli operatori bancari il rischio economico correlato all'esecuzione di operazioni non autorizzate, anche in ragione della possibilità di rintracciare efficacemente e tempestivamente gli autori delle relative truffe, potendo porre in essere condotte idonee a bloccare tempestivamente le richieste di pagamento truffaldine e potendo identificare, anche grazie alle relazioni interbancarie, i beneficiari di tali disposizioni.
Nell'ambito di questo sistema di responsabilità e, più in generale, del fenomeno del phishing, il fatto che il pagatore comunichi a terzi truffatori le credenziali di accesso al proprio conto on line è un evento fisiologico, essendo la modalità standard tramite la quale vengono compiute tali truffe e quindi quella in ragione della quale è predisposta, a livello internazionale e nazionale, tutta la normativa anti- phishing. La comunicazione a terzi delle credenziali di accesso al proprio conto e per l'operatività sul proprio conto può essere espressiva di una colpa grave del pagatore solo quando, per le modalità ed il contesto nel quale viene compiuta, sia espressiva di straordinaria e inescusabile leggerezza che pagina 4 di 6 consenta di escludere il rispetto di quella minima prudenza esigibile ed osservabile da tutti (Cass. n.
913/2011).
Nel caso di specie è pacifico tra le parti che l'attore sia stato vittima di un tipico fenomeno di c.d. phishing attuato attraverso l'invio di una mail civetta che invitava la a cliccare su un link e, CP_1 una volta cliccato, a fornire tutti i dati della propria carta postepay.
Orbene, nel caso di specie, deve evidenziarsi che le modalità con cui è stata truffata la sono CP_4 tali da ritenere che chiunque, specie un soggetto giovane come l'odierna appellata, avrebbe potuto avvedersi di quanto stava accadendo.
La mail ricevuta non solo è resa in un italiano non perfetto (“potrebbero comportarsi dei seri disagi”) e con alcuni errori grammaticali (“per regollizzare”) ma, soprattutto, proviene da un indirizzo in alcun modo ricollegabile alle Poste (info@sicingenieros.net), neanche nel proprio dominio.
È incontestato che, nel caso di specie, la non si è limitata a cliccare sul link allegato al CP_1 messaggio (che, peraltro, avrebbe dovuto chiedere l'aggiornamento dei soli dati anagrafici della stessa) ma ha anche inserito e fornito tutti i dati della propria carta postepay, senza che ciò destasse nella stessa alcun sospetto, considerato, peraltro, che non è stato neanche allegato (e né, tantomeno, provato) che il link presente nel messaggio mail fosse anche solo apparentemente riferibile alle . Pt_1
Peraltro, a fronte dell'utilizzo della Carta postepay della per operazioni di più pochi euro o di CP_1 poche centinaia di euro, le non hanno avuto alcun sentore o campanello di allarme circa il fatto Pt_1 che i dati dell'odierna appellata fossero stati frodati.
Le circostanze del caso concreto, quindi, inducono a ritenere che la versi in uno stato di colpa CP_1 grave, contrariamente a quanto sostenuto dal giudice di prime cure, considerato, peraltro, che l'odierna appellata è un soggetto giovane e che l'appellante ha realizzato, sul proprio sito, presso gli Uffici
Postali e tramite comunicazioni mail, campagne di informazione sul fenomeno del phishing e di sensibilizzazione, volte, specificatamente ad evitare che i clienti rilascino informazioni strettamente personali relative ai propri conti e ai propri codici di accesso, specificando che e CP_2
non chiedono mai, telefonicamente e attraverso mail, tramite SMS o messaggi sui Social, di CP_3 fornire password, dati delle carte, codici OTP, PIN, credenziali, chiavi di accesso all'home banking o altri codici personali”.
Ne consegue, pertanto, che la sentenza emessa dal giudice di prime cure deve essere riformata e la domanda proposta in primo grado da deve essere rigettata. Controparte_1
La particolarità, in ogni caso, della vicenda, giustifica la compensazione delle spese di lite del doppio grado di giudizio.

P.Q.M.

pagina 5 di 6 il Tribunale di Isernia, definitivamente pronunciando sulla domanda in epigrafe, ogni diversa domanda, eccezione e deduzione disattese, così provvede:
- accoglie l'appello proposto da e, per l'effetto, in totale riforma della sentenza Controparte_3
n.136/2020 emessa dal Giudice di Pace di Venafro, rigetta la domanda proposta in primo grado da;
Controparte_1
- compensa tra le parti le spese del doppio grado di giudizio.
Isernia, 22.12.2025
Il Giudice
Dott.ssa Simona Di Paolo
pagina 6 di 6