Truffa del falso parente e pagamenti online prova della Strong Customer Authentication (ABF Collegio di Milano n. 3710 del 24.04.2026)

Principi di diritto (Massima)
In caso di operazioni di pagamento disconosciute, la prova della Strong Customer Authentication (SCA) è a carico dell’intermediario e costituisce un prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa grave del cliente. Solo quando risulta pacifico o dimostrato che le operazioni sono state compiute direttamente e interamente dal cliente, l’intermediario è esonerato da tale prova. Se il concorso causale dell’utente è anche solo parziale, la transazione non può per ciò solo intendersi autorizzata, perché la normativa speciale richiede che il consenso sia prestato nella forma convenuta e con autenticazione forte. Il difetto, anche parziale, della prova di autenticazione è risolutivo e dirimente. Superata la prova della SCA, il Collegio valuta in concreto la condotta delle parti e ripartisce la responsabilità secondo gli indici di anomalia del D.M. 112/2007, espressione di un generale obbligo di monitoraggio.

Il Fatto

Il ricorrente afferma di essere stato vittima, l’8 gennaio 2026, di una truffa mediante sostituzione di persona: un soggetto, utilizzando l’account WhatsApp di suo zio, lo avrebbe indotto a credere di dover aiutare urgentemente un parente e a inviargli una foto della carta di pagamento. In meno di un’ora venivano autorizzate, tramite l’APP dell’intermediario, 8 operazioni per complessivi € 618,38. Il cliente sporgeva denuncia il 9 gennaio 2026 e presentava reclamo il giorno successivo, riscontrato negativamente.

Chiedeva l’accertamento della responsabilità dell’intermediario per la mancata adozione di adeguate misure di prevenzione e di tempestivo blocco delle operazioni anomale, con restituzione della somma; in subordine, un’equa ripartizione delle responsabilità. L’intermediario eccepiva la regolare autenticazione delle transazioni e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio muove dalla qualificazione della fattispecie. Dalle dichiarazioni del ricorrente non è evincibile con certezza che sia stato lui personalmente a eseguire tutte le operazioni: la documentazione non chiarisce se le stesse siano state interamente o parzialmente compiute dal cliente. Non ricorre quindi l’ipotesi in cui l’onere della prova dell’autenticazione può dirsi assolto per il fatto che le operazioni siano state poste in essere direttamente dal titolare della carta.

Richiamato il quadro normativo — artt. 97 e 98 PSD2, art. 10-bis d.lgs. n. 11/2010 e Regolamento Delegato UE 2018/389 — il Collegio ribadisce che la SCA si realizza con almeno due dei tre fattori (conoscenza, possesso, inerenza), reciprocamente indipendenti. Le evidenze prodotte dall’intermediario attestano, per le operazioni contestate, il fattore di conoscenza (utilizzo del Codice P***ID) e quello di possesso (notifiche push sul device del cliente). La fase di enrollment e l’associazione della carta risalgono al febbraio 2025, ben prima della truffa; per le operazioni su siti e-commerce il log-in non è previsto. La prova della SCA è dunque superata.

Passando alla condotta delle parti, il Collegio applica gli indici di anomalia del D.M. 112/2007, privi di valore precettivo diretto ma espressivi di un obbligo di monitoraggio. Nel caso concreto, 8 operazioni in 54 minuti, con le ultime 5 presso il medesimo punto vendita, integrano gli indici. Gli importi che avrebbero dovuto attivare i presidi dell’intermediario ammontano a € 356,35, arrotondati a € 356,00 secondo le Disposizioni ABF.

Il Collegio accoglie quindi parzialmente il ricorso e dispone il pagamento di € 356,00 al ricorrente, oltre al contributo di € 200,00 a favore della Banca d’Italia e al rimborso di € 20,00 per la presentazione del ricorso.