Prelievi cardless e smishing: autenticazione forte e colpa grave del cliente (ABF Collegio di Milano n. 1472 del 18.02.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento è tenuto a provare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata senza anomalie, secondo l’art. 10 del d.lgs. n. 11/2010. Assolto tale onere, grava sull’intermediario la prova che l’uso indebito del dispositivo sia riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta dell’art. 7 del d.lgs. n. 11/2010. L’attivazione di un nuovo dispositivo mediante credenziali statiche e codice dinamico OTS, seguita da notifica SMS al numero certificato, integra autenticazione forte ai sensi della normativa PSD2. La mancata allegazione del c.d. SMS civetta e l’inerzia dell’utilizzatore dinanzi all’avviso di attivazione di un dispositivo estraneo integrano la colpa grave e giustificano il rigetto della domanda di rimborso.

Il Fatto

Il cliente riferisce di aver ricevuto, il 22 settembre 2020, messaggi apparentemente provenienti dalla banca che segnalavano un tentativo di bonifico. Il giorno successivo giungeva una telefonata da un numero mobile, nel corso della quale l’interlocutore qualificava le operazioni come prove effettuate dalla banca. Il cliente, in quei giorni in Svizzera, nega di aver autorizzato i pagamenti e di aver comunicato codici e password.

La moglie del cliente si reca in filiale il 24 settembre 2020 e apprende che il 22 e il 23 settembre erano stati eseguiti tre prelievi cardless per € 5.000,00 complessivi. L’intermediario, nelle controdeduzioni, ricostruisce le operazioni in due prelievi da € 2.000,00 e € 1.000,00 il primo giorno e uno da € 2.000,00 il secondo, e chiede il rigetto del ricorso, invocando la colpa grave del cliente e l’applicazione della franchigia di € 50,00.

La motivazione del Collegio

Il Collegio individua la questione nel disconoscimento di tre prelievi cardless eseguiti a seguito di truffa ai danni del cliente e richiama il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2.

Il riparto dell’onere probatorio è ricostruito muovendo dall’art. 10 del d.lgs. n. 11/2010: l’intermediario deve anzitutto provare l’autenticazione, la registrazione e la contabilizzazione senza anomalie. Solo in un secondo momento deve dimostrare che l’uso indebito del dispositivo deriva dal comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Nel caso concreto il Collegio ritiene assolto il primo onere. In data 19 settembre 2020, alle ore 15:49, è stato effettuato l’enrollment di un nuovo dispositivo mediante inserimento delle credenziali statiche e del codice dinamico OTS inviato via SMS al numero certificato del cliente. Il cliente ha ricevuto la notifica dell’attivazione con invito a contattare la filiale. Le tre operazioni successive risultano autorizzate mediante inserimento del PIN e del codice OTS, in conformità all’autenticazione forte richiesta dalla normativa PSD2.

Passando alla prova della colpa grave, il Collegio osserva che il cliente riferisce di aver ricevuto SMS e una telefonata sospetti, ma non produce l’evidenza dell’SMS civetta né il registro delle chiamate. Secondo l’orientamento consolidato dei Collegi, la mancata allegazione del messaggio civetta determina il rigetto, perché non consente di verificare se il mittente sia riconducibile all’intermediario. A ciò si aggiunge che il cliente ha ignorato la notifica SMS di attivazione del nuovo dispositivo, ha autorizzato tre operazioni mediante i codici OTS senza verifica e non ha bloccato tempestivamente le credenziali pur essendo a conoscenza dell’attività anomala.

Questi elementi integrano la colpa grave prevista dall’art. 10, comma 2, del d.lgs. n. 11/2010. Il Collegio, pertanto, non accoglie il ricorso.