Spoofing telefonico e prova della Strong Customer Authentication: il ricorso è rigettato (ABF Collegio di Milano n. 1819 del 27.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza disconosciute, l’onere della prova dell’autenticazione forte grava sull’intermediario e va assolto con riferimento a ciascuna fase in cui l’operazione si è realizzata, compresa l’abilitazione di un nuovo dispositivo. La Strong Customer Authentication si perfeziona con almeno due fattori indipendenti e di categorie diverse tra conoscenza, inerenza e possesso. Ove la prova di autenticazione risulti fornita per ogni fase, e le allegazioni del cliente sulla genesi della frode restino prive di riscontro, il ricorso va rigettato. Non è configurabile, peraltro, una responsabilità oggettiva a carico dell’intermediario.

Il Fatto

Il ricorrente riferisce di essere stato contattato da un numero riconducibile all’intermediario. L’interlocutore, presentatosi come operatore dell’ufficio antifrode, gli avrebbe rappresentato un tentativo di accesso all’app tramite un dispositivo altrui, confermando dati che il cliente assume di non aver comunicato. Poco dopo il ricorrente riscontrava un’operazione non autorizzata di € 796,00 verso un esercente commerciale.

Il cliente contestava quindi l’addebito e presentava denuncia per frode informatica. L’intermediario resisteva sostenendo che l’operazione era stata eseguita in modalità di commercio elettronico sicuro, previa abilitazione di un nuovo dispositivo mediante codice OTS inviato al cellulare certificato del titolare. Secondo la banca, il cliente avrebbe comunicato al sedicente operatore il codice OTS e gli estremi della carta, con colpa grave nella custodia delle credenziali. Il ricorrente chiedeva il rimborso della somma.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis: il D.lgs. n. 11/2010 come modificato dal D.lgs. n. 218/2017 di attuazione della direttiva PSD2, gli artt. 97 e 98 della direttiva, l’art. 10-bis del D.lgs. 11/2010, le norme tecniche EBA recepite nel Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA.

Il principio cardine è che l’intermediario è esonerato dalla prova di autenticazione solo se risulta pacifico o dimostrato che l’operazione sia stata compiuta direttamente e interamente dal cliente, con inserimento della disposizione di pagamento e di tutti i fattori di autenticazione. Quando il concorso causale dell’utente è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta.

Da qui la necessità di accertare la SCA per ciascuna operazione e per ogni fase, con onere probatorio a carico dell’intermediario. Il Collegio qualifica tale prova come prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa grave del cliente. In caso di difetto anche parziale della prova di autenticazione, la domanda va accolta, perché la mancanza è risolutiva rispetto alla valutazione della colpa.

Nel caso concreto, le evidenze prodotte dimostrano la sussistenza della SCA in entrambe le fasi. Quanto all’enrollment del nuovo dispositivo, avvenuto alle ore 12:51:06, l’operazione risulta autorizzata con PIN, fattore di conoscenza, e con codice OTS inviato via SMS, fattore di possesso. Quanto all’operazione contestata, essa risulta autorizzata con PIN e con notifica push sul dispositivo registrato.

Il Collegio aggiunge che le affermazioni del ricorrente, compresa quella sul ricevimento della chiamata iniziale del truffatore, restano indimostrate, non avendo egli prodotto alcuna evidenza idonea a stabilire la riconducibilità della chiamata all’intermediario. Il ricorso è pertanto rigettato.