Autenticazione forte non provata: l’intermediario risponde della truffa da phishing (ABF Collegio di Milano n. 3538 del 22.04.2026)

Principi di diritto (Massima)
La prova dell’autenticazione forte delle operazioni di pagamento disconosciute costituisce un prius logico-giuridico rispetto all’accertamento della colpa grave dell’utente. Grava sull’intermediario l’onere di dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata secondo gli obblighi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD II. Se l’intermediario non indica quale secondo fattore sia stato impiegato in fase di accesso all’home banking, la prova della SCA non può dirsi raggiunta. La mancanza di tale prova determina, per ciò solo, l’accoglimento del ricorso e il rimborso dell’importo contestato.

Il Fatto

La ricorrente, titolare di un libretto nominativo, di una carta prepagata e di un conto corrente presso l’intermediario, riceveva il 23 luglio 2025 un SMS da un mittente che si qualificava come operatore della banca, con l’avviso che il conto era bloccato per una possibile frode e l’invito a contattare un numero telefonico. Ritenendo genuina la comunicazione, la cliente chiamava il numero e seguiva le indicazioni del finto operatore, al quale – secondo la ricostruzione dell’intermediario – comunicava i codici OTP ricevuti sul cellulare.

Il giorno successivo, riattivato l’account, la cliente scopriva un addebito di € 1.020,00 (di cui € 20,00 di commissioni) sul libretto, destinato a un giroconto e a un trasferimento di fondi tramite money transfer. Presentava reclamo, riscontrato negativamente perché l’operazione risultava convalidata con i codici OTP, e sporgeva denuncia. Ha quindi domandato il rimborso, sostenendo di non aver mai autorizzato l’operazione e che il truffatore fosse già in possesso delle sue credenziali.

La motivazione del Collegio

Il Collegio di Milano individua l’oggetto della controversia in un’operazione di pagamento verso un money transfer per complessivi € 1.020,00, posta in essere il 23 luglio 2025. Alla data dei fatti trova applicazione il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 in attuazione della direttiva 2015/2366/EU (PSD II), in vigore dal 13 gennaio 2018.

La difesa dell’intermediario si fondava sull’avvenuta autenticazione forte dell’operazione: il bonifico sarebbe stato eseguito a seguito del corretto inserimento delle credenziali e della convalida con codice OTP inviato sul numero di telefono certificato, senza malfunzionamenti o compromissioni dei sistemi. L’intermediario ne deduceva la colpa grave della cliente, per aver ignorato le raccomandazioni di non condividere i codici riservati e per la sua condotta di colpevole credulità.

Il Collegio rovescia l’ordine dell’indagine. Esaminati i log informatici prodotti dall’intermediario, rileva che in fase di accesso all’home banking la cliente ha inserito il codice OTP inviato sul cellulare registrato in fase di enrollment, ma l’intermediario non indica quale altro fattore sarebbe stato utilizzato. Il codice OTP, infatti, è qualificato come fattore di possesso e, da solo, non integra la autenticazione a due fattori richiesta dalla normativa.

Da qui il principio processuale che regge la decisione: la prova dell’autenticazione forte delle operazioni disconosciute è un prius logico-giuridico rispetto all’accertamento della colpa grave dell’utente. La mancanza di quella prova determina per ciò solo l’accoglimento del ricorso, senza che il Collegio debba esaminare la condotta della cliente. L’intermediario è quindi tenuto a corrispondere alla ricorrente € 1.020,00, oltre a € 20,00 per il rimborso del contributo versato e a € 200,00 quale contributo alle spese della procedura in favore della Banca d’Italia.