Autenticazione forte provata ma concorso di colpa del cliente nel vishing (ABF Collegio di Bologna n. 3740 del 27.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza, l’intermediario assolve l’onere probatorio di cui all’art. 10 del D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017, quando dimostra che l’operazione è stata autenticata mediante un sistema di autenticazione forte articolato su più fattori riconducibili alle categorie della conoscenza, del possesso e dell’inerenza, come nel caso di inserimento del PIN, validazione di un OTP, notifica push sul dispositivo registrato e conferma biometrica. Accertata la strong customer authentication, la condotta del cliente che si lasci indurre a comunicare dati riservati e a seguire le istruzioni del frodatore integra un profilo di colpa, tanto più rilevante quanto più la cooperazione sia attiva. Resta comunque valutabile la condotta dell’intermediario, chiamato a intercettare operatività connotate da anomalie temporali e ripetitività. La responsabilità è pertanto ripartita in via equitativa secondo una valutazione complessiva delle rispettive condotte.

Il Fatto

Il ricorrente riceveva una telefonata da un sedicente operatore dell’ufficio frodi dell’intermediario, che lo avvertiva di tentativi di utilizzo illecito del conto per l’acquisto di bitcoin. Nel corso della conversazione il cliente forniva il numero di conto e la risposta alla domanda segreta, e seguiva le istruzioni ricevute, consistenti anche nella disinstallazione e reinstallazione dell’applicazione di home banking, con invito a non utilizzarla fino alle ore 20:00.

Poco dopo il ricorrente riceveva messaggi relativi ad addebiti sul conto e, contattato il servizio clienti, apprendeva di essere vittima di una frode. Disconosceva un pagamento online di euro 704,90 e tre operazioni di ricarica carta di euro 242,00 ciascuna, per un totale di euro 1.430,90. L’intermediario eccepiva che l’enrollment dell’app su un nuovo dispositivo era avvenuto mediante codice cliente, data di nascita, PIN e validazione di un OTP inviato al numero del cliente, e che le operazioni erano state autorizzate con notifica push e Face ID.

La motivazione del Collegio

Il Collegio inquadra la controversia nel D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2). L’art. 10 del decreto pone a carico dell’intermediario l’onere di provare che le operazioni siano state correttamente autenticate, registrate e contabilizzate mediante un sistema di autenticazione forte.

Dalla documentazione emerge che nella fase di enrollment su nuovo dispositivo sono stati utilizzati il codice PIN, quale elemento di conoscenza, e il codice OTP inviato via SMS, quale elemento di possesso. Nella fase dispositiva le operazioni sono state autorizzate tramite notifica push sul dispositivo registrato, elemento di possesso, e riconoscimento biometrico, elemento di inerenza. Il Collegio richiama sul punto Collegio di Milano n. 10837/2025 e Collegio di Roma n. 10892/2025 e ritiene raggiunta la prova della strong customer authentication, diversamente dai casi in cui difettava la prova di un secondo fattore nella fase di accesso all’app.

Accertata la SCA, il Collegio passa alla valutazione delle condotte. Il ricorrente ha comunicato dati riservati al sedicente operatore, ha seguito le istruzioni impartite contribuendo all’attivazione dell’app su un nuovo dispositivo e ha consentito al frodatore di acquisire il controllo degli strumenti di autenticazione. Secondo l’orientamento consolidato in materia di vishing e social hacking, richiamato con Collegio di Bologna nn. 927/2026 e 923/2026, la condotta del cliente va valutata in concreto e può integrare una colpa rilevante quando l’utente collabori attivamente alla frode.

Il Collegio esamina anche la posizione dell’intermediario. Le tre operazioni di ricarica carta sono state eseguite a pochi minuti di distanza l’una dall’altra e risultano riconducibili al medesimo merchant: un’operatività concentrata nel tempo e ripetitiva. Tali elementi, pur non integrando automaticamente gli indici di frode del D.M. n. 112/2007, costituiscono parametri rilevanti per valutare l’adeguatezza dei presidi di monitoraggio, secondo l’orientamento di Collegio di Bologna n. 11417/2024. L’intermediario, dunque, non ha intercettato tempestivamente un’operatività anomala, concorrendo in misura ridotta alla produzione del danno.

In applicazione dei più recenti orientamenti condivisi, la responsabilità è ripartita in via equitativa. Tenuto conto della significativa cooperazione del ricorrente e della presenza di elementi di anomalia nelle operazioni, il Collegio determina il concorso di colpa nella misura dell’80% a carico del ricorrente e del 20% a carico dell’intermediario. Il ricorso è quindi accolto in parte, con condanna dell’intermediario alla restituzione di euro 286,00, oltre al contributo alle spese della procedura di euro 200,00 e al rimborso di euro 20,00 in favore della parte ricorrente.