Phishing e token virtuale: prova dell’autenticazione forte e rimborso dei bonifici (ABF Collegio di Milano n. 4701 del 26.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il difetto di piena prova sull’autenticazione forte grava sull’intermediario e non può essere compensato dal comportamento dell’utente. Se il concorso causale del cliente nella fase dispositiva o autorizzativa è solo parziale, la transazione non è per ciò solo autorizzata: la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento. La mancanza, anche parziale, della prova di autenticazione è risolutiva e dirimente, e precede logicamente ogni valutazione sulla colpa grave dell’utente. Ne segue l’accoglimento integrale del ricorso e il rimborso delle somme addebitate.

Il Fatto

Il ricorrente riferisce di aver ricevuto, in data 9 ottobre 2025, una serie di telefonate provenienti da numeri che il dispositivo identificava come riconducibili all’intermediario o a una sua filiale. Il sedicente operatore, a conoscenza dei dati bancari riservati, prospettava tentativi di accesso fraudolenti e guidava il cliente nella modifica delle credenziali dell’home banking, per poi indurlo ad autorizzare operazioni presentate come necessarie ad annullare presunti bonifici sospetti. Seguivano una terza chiamata, relativa alla modifica del token di sicurezza, e una comunicazione e-mail graficamente identica a quelle ufficiali dell’intermediario.

Il cliente scopriva così l’addebito di quattro bonifici istantanei verso destinatari sconosciuti, per complessivi € 7.400,00, chiedeva il blocco delle operazioni e presentava denuncia. Il reclamo del 10 ottobre 2025 veniva riscontrato negativamente; da qui il ricorso all’ABF per il rimborso e il ripristino della situazione contabile. L’intermediario, nelle controdeduzioni, invoca l’inapplicabilità del D.lgs. n. 11/2010, sostiene l’esecuzione delle operazioni da parte del cliente, deduce la sua colpa grave e, in subordine, chiede la riduzione del risarcimento ex art. 1227 c.c.

La motivazione del Collegio

Il Collegio di Milano individua l’oggetto della controversia nelle quattro disposizioni di pagamento del 9 ottobre 2025 e conferma l’applicabilità ratione temporis del D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. n. 218/17 di attuazione della direttiva PSD II.

La tesi difensiva dell’intermediario, secondo cui le operazioni sarebbero state autorizzate direttamente dal cliente mediante approvazione delle notifiche push, non convince. Il Collegio rileva che, se il cliente ha inizialmente seguito le indicazioni del truffatore modificando le credenziali, non emerge in modo univoco che abbia disposto interamente le operazioni, né risultano dichiarazioni confessorie. Richiamando l’orientamento dei Collegi ABF, si afferma che il concorso causale parziale dell’utente, ad esempio con l’inserimento di uno solo dei fattori di autenticazione, non basta a qualificare la transazione come autorizzata: la disciplina speciale richiede il consenso nella forma convenuta tra pagatore e prestatore di servizi di pagamento.

Passando all’autenticazione forte, i log prodotti dall’intermediario mostrano, per le fasi antecedenti alle prime due operazioni, la mancanza della prova dei fattori di autenticazione in entrambi i login. Quanto alla creazione del token virtuale, evocata per il terzo e quarto bonifico, i log non offrono indicazioni puntuali: compare solo un sms delle 12:16 recante l’indicazione del token, senza che l’intermediario spieghi come sia stato creato né se ne rinvenga altra evidenza.

La fase esecutiva conferma il quadro: l’operazione risulta autorizzata dopo un login web delle 11:38:07, ma non emerge l’inserimento del PIN prodromico all’apertura dell’app e alla generazione della notifica push, né l’evidenza della notifica stessa; per la terza e la quarta operazione non risulta l’utilizzo del token virtuale quale fattore di possesso.

Il Collegio conclude applicando il principio secondo cui, in caso di difetto di piena prova sull’autenticazione delle transazioni disconosciute, il ricorso va accolto integralmente: la prova di autenticazione è un prius logico rispetto alla prova della colpa grave dell’utente. Il ricorso è pertanto accolto, con condanna dell’intermediario al pagamento di € 7.400,00 con buona valuta, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 per la presentazione del ricorso.