Phishing e SCA silente: la notifica push “parlante” esclude la responsabilità dell’intermediario (ABF Collegio di Napoli n. 1163 del 10.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, ai sensi dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, grava sull’intermediario l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata, nonché di dimostrare l’eventuale dolo o colpa grave dell’utente. L’utilizzo delle credenziali di sicurezza non è di per sé sufficiente a dimostrare l’autorizzazione né la colpa grave del cliente. Tuttavia, ove risulti una strong customer authentication conforme ai requisiti normativi e una notifica push che indichi in modo chiaro importo e beneficiario, l’operazione deve ritenersi correttamente autenticata. È irrilevante, ai fini della responsabilità dell’intermediario, il successivo accertamento che il consenso dell’utente sia stato viziato da artifizi o raggiri di terzi.

Il Fatto

Il ricorrente, titolare di una carta di credito emessa dall’intermediario resistente e cointestatario del rapporto insieme alla coniuge, lamentava l’esecuzione di un pagamento non autorizzato di € 450,08, effettuato il 21 agosto 2025 nell’ambito di una truffa realizzata tramite una piattaforma online di compravendita di beni usati.

Secondo la ricostruzione, la cointestataria stava creando un account sulla piattaforma, che avrebbe richiesto i dati della carta a fini di verifica. Inseriti i dati, la cliente riceveva sul dispositivo mobile una richiesta di autorizzazione, che confermava. Il giorno successivo il ricorrente si avvedeva di addebiti a favore di un esercente non riconducibile alla piattaforma, bloccava la carta e presentava reclamo, senza ottenere il rimborso. L’intermediario, costituitosi, qualificava l’episodio come phishing e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio inquadra la vicenda nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Le fonti sulla strong customer authentication sono individuate negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nelle norme tecniche dell’EBA recepite con il Regolamento Delegato UE 2018/389, applicabile dal 14 settembre 2019.

Il cuore della decisione è la ripartizione dell’onere della prova. Richiamato l’art. 10, comma 1, d.lgs. n. 11/2010, il Collegio ribadisce che, se l’utente nega di aver autorizzato l’operazione, spetta al prestatore di servizi di pagamento provare l’avvenuta autenticazione, la corretta registrazione e contabilizzazione, nonché l’assenza di malfunzionamenti. Il comma secondo precisa che il mero utilizzo dello strumento di pagamento non è sufficiente a dimostrare l’autorizzazione: è sempre l’intermediario a dover provare la frode, il dolo o la colpa grave dell’utente.

Applicando tali regole al caso concreto, il Collegio ritiene che l’intermediario abbia assolto al proprio onere. La documentazione dimostra che il pagamento è stato preceduto dall’invio di una notifica push sull’applicazione mobile associata al profilo del cliente, riportante in modo chiaro importo e beneficiario. L’autorizzazione è avvenuta tramite interazione attiva, con inserimento del PIN o conferma biometrica, integrando almeno due fattori di autenticazione riconducibili alle categorie della conoscenza e dell’inerenza, oltre al fattore del possesso del device.

Il Collegio affronta poi il tema della SCA “silente”, con generazione automatica di una OTP transazionale non visibile all’utente ma collegata alla singola operazione. Tale modalità non incide sulla validità dell’autenticazione, trattandosi di soluzione espressamente prevista dalla disciplina PSD2, purché l’utente sia messo in condizione di comprendere quale operazione stia autorizzando. Condizione soddisfatta, nel caso di specie, dalla presenza di una notifica push “parlante”.

Da ultimo, il Collegio richiama il consolidato orientamento dei Collegi ABF: in presenza di una SCA regolarmente applicata e di un’autorizzazione prestata dal cliente secondo le modalità contrattualmente previste, l’operazione è correttamente autenticata. Diventa irrilevante il successivo accertamento che il consenso sia stato viziato da artifizi o raggiri di terzi estranei al rapporto. Il ricorso è pertanto rigettato.