Phishing e pagamenti autenticati SCA: ricorso rigettato per colpa grave del cliente (ABF Collegio di Milano n. 5139 del 05.06.2026)

Principi di diritto (Massima)
In materia di utilizzo fraudolento di strumenti di pagamento, qualora le operazioni risultino autenticate nel rispetto della strong customer authentication mediante due fattori indipendenti di categorie diverse, la prova di autenticazione costituisce un prius logico rispetto alla valutazione della condotta del cliente. Su quest’ultimo grava allora l’onere di dimostrare l’assenza di colpa grave, che integra causa di esclusione della responsabilità del prestatore di servizi di pagamento ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010. La ricostruzione dei fatti contraddittoria, lacunosa e non supportata da riscontri documentali, unitamente alla mancata allegazione del registro delle chiamate, integra colpa grave e preclude il rimborso.

Il Fatto

La ricorrente ha adito l’Arbitro deducendo di aver ricevuto un sms, apparentemente proveniente dall’intermediario, con cui le veniva comunicato il diniego di una transazione su un sito web e l’invito a contattare un’utenza mobile per informazioni e blocco. Dopo aver contattato il numero indicato, riferiva di essere stata richiamata da un sedicente operatore che la induceva a collegarsi all’home banking tramite l’applicazione installata sul telefono per confermare il blocco di transazioni sospette.

In data 18.07.2024 la ricorrente constatava il saldo azzerato e l’esecuzione di pagamenti che assumeva non disposti, sia tramite carta di credito sia tramite bonifico. Disconosceva le operazioni, proponeva denuncia e chiedeva il rimborso, contestando la mancata adozione delle misure idonee a impedire l’illecito utilizzo della carta e l’assenza delle notifiche. L’intermediario, costituitosi, eccepiva la consapevole autorizzazione delle transazioni tramite l’app e i dati biometrici, la tardività del blocco della carta e la colpa grave della cliente.

La motivazione del Collegio

Il Collegio inquadra la questione nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2. La disciplina distribuisce gli obblighi tra fruitori e prestatori di servizi di pagamento: ai primi impone l’uso diligente degli strumenti e la segretezza dei codici; ai secondi l’adozione di sistemi di sicurezza che impediscano l’accesso di terzi ai dispositivi e l’uso degli strumenti successivamente alla comunicazione di operazioni disconosciute.

Quanto alla strong customer authentication, gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato Ue 2018/389 e il parere EBA del 21 giugno 2019 richiedono almeno due fattori reciprocamente indipendenti tra conoscenza, inerenza e possesso. Il criterio di imputazione del rischio in capo al prestatore presuppone però che gli utilizzi non autorizzati derivino da furto, smarrimento o illecito utilizzo dei codici da parte di terzi frodatori.

Nel caso concreto, le tracciature informatiche evidenziano che i due pagamenti on line di € 500,00 ciascuno, eseguiti il 15.07.2024, sono stati autenticati tramite notifica push sul dispositivo della ricorrente (possesso) e riconoscimento biometrico (inerenza). Accertata la conformità a SCA, il Collegio verifica la sussistenza di profili di colpa grave, richiamando il precedente del Collegio coordinato n. 22745/2019.

La ricostruzione della ricorrente risulta contraddittoria e lacunosa: la narrazione del ricorso diverge dalle dichiarazioni rese in denuncia, che collocano l’intera vicenda nel 15.07.2024 senza riferimento alla telefonata del 12.07.2024. Il messaggio civetta prodotto presenta una denominazione della chat non riconducibile all’intermediario, errori lessicali e un numero non riferibile allo stesso. La mancata allegazione del registro delle chiamate non consente di verificare la riconducibilità del numero all’intermediario né un legittimo affidamento dell’utente. È inoltre smentita per tabulas la contestazione sull’assenza di sms alert. Il Collegio rigetta il ricorso.