Phishing e smishing: autorizzazione con strong authentication esclude la responsabilità della banca (ABF Collegio di Roma n. 3945 del 05.05.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta dal pagatore con autenticazione forte a due fattori indipendenti — nella specie notifica push e riconoscimento biometrico — deve considerarsi autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Quando la frode si realizza mediante un messaggio non riconducibile ai canali ufficiali dell’intermediario, non è configurabile una responsabilità oggettiva del PSP, né una colpa concorrente del medesimo, dovendosi ravvisare la responsabilità esclusiva del pagatore che abbia dato seguito con ingenuità alla truffa. Il prestatore di servizi di pagamento risponde, invece, se non esige l’autenticazione forte del cliente, ai sensi dell’art. 12, comma 2-bis, d.lgs. n. 11/2010.

Il Fatto

La ricorrente riferisce di aver ricevuto il 27 settembre 2024 un sms, apparentemente del proprio gestore telefonico, che la invitava a cliccare un link per vincere premi. Accedendo al sito e inserendo i dati della carta per un piccolo pagamento di conferma, riceveva dall’app della banca la richiesta di autorizzazione di un pagamento di 0,00 UAH, che autorizzava. Subito dopo le veniva richiesto un secondo pagamento di 21.080,00 UAH (459,98 euro), che tentava invano di non autorizzare; l’importo veniva addebitato a favore di un e-commerce.

La ricorrente bloccava la carta e sporgeva denuncia, chiedendo il rimborso di 459,98 euro. L’intermediario resisteva sostenendo che la transazione era stata correttamente autenticata con strong authentication, senza anomalie, e che alcun rimborso era dovuto.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile ratione temporis. L’operazione, eseguita il 27 settembre 2024, ricade nel perimetro della direttiva 2015/2366/UE (PSD2), recepita con il d.lgs. n. 218/2017, e del regolamento delegato (UE) n. 2018/389. Le norme del d.lgs. n. 11/2010 in materia di misure di sicurezza, come modificate nel 2017, hanno efficacia dal 14.09.2019 e sono quindi pienamente applicabili alla vicenda.

La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non abbia predisposto un sistema di autenticazione forte. Il concetto di SCA è definito dall’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010 e precisato dall’Opinion EBA del 21 giugno 2019: i dati stampati sulla carta non costituiscono elemento valido, mentre l’OTP via sms integra un fattore di possesso idoneo.

Nel caso concreto, l’intermediario ha prodotto documentazione tecnica attestante l’autenticazione tramite notifica push (fattore di possesso) e riconoscimento biometrico (fattore di inerenza). Schermate analoghe sono state ritenute idonee a provare l’autenticazione forte dal Collegio di Roma, decisione n. 8856 del 26/07/2024.

Il Collegio qualifica quindi il caso come ipotesi di smishing, che secondo l’orientamento dell’ABF non costituisce frode sofisticata (Collegio di Roma, decisione n. 9294/2019). La ricorrente ammette di aver disposto in prima persona l’operazione, inserendo la disposizione di pagamento e tutti i fattori di autenticazione: l’operazione deve dunque considerarsi autorizzata e non soggetta al regime di responsabilità della PSD2. Rientrano in questa fattispecie le operazioni eseguite seguendo le indicazioni del frodatore, le c.d. operazioni “sotto dettatura”.

Il Collegio ammette la possibilità di ravvisare una responsabilità concorrente del PSP secondo il diritto comune, quando emerga un apporto causale dell’intermediario alla frode. Nel caso di specie, tuttavia, non risultano sms truffaldini provenienti dal canale ufficiale della banca o a essa riferibili. Tenuto conto dell’estraneità dell’intermediario, non è ravvisabile alcuna colpa, essendo esclusiva la responsabilità della ricorrente per aver dato seguito con ingenuità alla truffa (Collegio di Roma, decisione n. 7622 del 1/8/2025). Il ricorso è pertanto respinto.