Phishing e colpa grave dell’utente: autenticazione forte esonera la banca (ABF Collegio di Milano n. 8278 del 14.09.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che, in caso di operazione disconosciuta dall’utente, provi l’autenticazione forte del cliente mediante due fattori indipendenti, nonché la corretta registrazione e contabilizzazione dell’operazione, adempie all’onere probatorio postogli dall’art. 10, comma 1, d. Lgs. n. 11/2010. Il concorso causale parziale dell’utente in fase dispositiva non vale, di per sé, a qualificare l’operazione come autorizzata. Accertata l’autenticazione, resta a carico dell’intermediario la prova della colpa grave dell’utente, desumibile anche dalle dichiarazioni rese dal ricorrente e dagli elementi di fatto che caratterizzano le modalità esecutive della frode. Integra colpa grave la condotta dell’utente che inserisca le credenziali della carta su un portale non riconducibile all’intermediario e confermi una notifica push al dichiarato fine di ricevere un accredito, trattandosi di attività tipicamente funzionali all’esecuzione di un pagamento. In tal caso la richiesta di rimborso non è accoglibile.

Il Fatto

La ricorrente denunciava, il 27 dicembre 2025, di essere stata vittima di una frode informatica riconducibile al fenomeno del phishing: sul proprio conto corrente veniva addebitato un pagamento online su un sito estero di e-commerce di € 1.287,05, comprensivo di commissioni per € 14,00, eseguito il precedente 25 dicembre tramite carta di credito emessa dall’intermediario convenuto.

La cliente disconosceva l’addebito e chiedeva il rimborso, imputando alla banca di non aver impedito la violazione del proprio sistema informatico, oltre agli interessi legali e alle spese. L’intermediario eccepiva la regolare contabilizzazione, autenticazione e registrazione dell’operazione e la colpa grave della ricorrente, che aveva cooperato al pagamento seguendo le indicazioni dei truffatori e inserendo i dati della carta su un link di dubbia provenienza.

La Motivazione della Corte

Il Collegio individua la questione nella rimborsabilità della somma sottratta mediante operazione disconosciuta, verificando entrambi i profili dell’onere probatorio alla luce del d. Lgs. n. 11/2010, come novellato dal d. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Preliminarmente rileva che il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo autorizzata l’operazione, richiamando il proprio precedente Collegio di Milano, decisione n. 4601/2024.

Sul primo profilo, il Collegio richiama l’art. 8, comma 1, lett. a), d. Lgs. n. 11/2010, l’art. 10, commi 1 e 2, e l’art. 10-bis in tema di autenticazione forte del cliente, definita dall’art. 1, comma 1, lett. q-bis) come basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza. Ricorda che l’esigenza di prova dell’autenticazione a due fattori era già affermata dall’orientamento dei Collegi prima della novella (Collegio di Milano, decisioni n. 6936/2016 e n. 7131/2017).

Nel caso concreto l’intermediario dimostra che l’operazione è stata disposta mediante conferma di notifica push generata da token software sull’App installata sul device certificato dell’utente, seguita da riconoscimento biometrico mediante impronta digitale: fattore del possesso e fattore dell’inerenza. Il sistema è dunque conforme ai criteri dell’autenticazione forte e, in assenza di ulteriori indici di anomalia, la banca ha assolto all’onere di provare l’adempimento degli obblighi dell’art. 8.

Sul secondo profilo, il Collegio richiama il principio del Collegio di Coordinamento, decisione n. 22745/2019: la prova dell’autenticazione e della regolarità formale non esaurisce l’onere, occorrendo che l’intermediario indichi gli elementi di fatto dai quali trarre in via presuntiva la colpa grave, che il Collegio può comunque accertare se palesemente emergente dalle dichiarazioni del ricorrente.

La colpa grave è definita, sulla scorta di Cass. civ. n. 14456 del 19 novembre 2001 e del Collegio di Coordinamento, decisione n. 5304/2013, come comportamento consapevole con straordinaria e inescusabile imprudenza o negligenza. Nel caso di specie doveva reputarsi anomala, secondo canoni di ordinaria prudenza, la richiesta di inserire i dati della carta e di confermare una notifica push al fine dichiarato di ricevere un accredito da vendita online: attività tipicamente funzionali al pagamento, non alla ricezione di somme. Le frodi basate su link che inducono a inserire credenziali su piattaforme esterne rientrano in uno schema ormai tipico e noto di phishing, evitabile con media diligenza (Collegio di Milano, decisioni n. 4697/2026 e n. 5836/2025). Il ricorso è pertanto non accolto.