La verifica della SCA precede la colpa grave del cliente (ABF Collegio di Milano n. 4591 del 21.05.2026)

Principi di diritto (Massima)
La mancanza di allegazioni del cliente sulle modalità con cui si è realizzata la frode non rende inammissibile il ricorso, ma attiene al merito e alla fondatezza della pretesa. Il Collegio verifica anzitutto la corretta applicazione degli obblighi di autenticazione forte (S.C.A.): ove l’operazione risulti autenticata tramite 3DSecure, notifica push e conferma biometrica, la mancata allegazione del messaggio civetta o degli elementi ricostruttivi della truffa giustifica il rigetto del ricorso. La valutazione della colpa grave del cliente, ai sensi dell’art. 10 del D.Lgs. n. 11/2010, presuppone infatti la già avvenuta verifica della S.C.A. e opera come elemento concorrente nel convincimento del Collegio.

Il Fatto

Il ricorrente riceveva sull’app della banca la notifica di un pagamento di € 1.938,38 eseguito all’estero con la propria carta. Bloccava subito la carta tramite il servizio clienti e contestava l’operazione. In un primo momento l’intermediario riaccreditava la somma, salvo poi procedere allo storno sostenendo che il pagamento fosse stato autorizzato dal cliente mediante riconoscimento biometrico.

Il ricorrente deduceva di essere, all’epoca dei fatti, dipendente dell’intermediario e quindi di conoscere le modalità per evitare le truffe, e chiedeva il rimborso della somma. L’intermediario respingeva la pretesa rilevando che il cliente non aveva descritto la dinamica della frode, limitandosi a disconoscere l’addebito, e che l’operazione era stata confermata con push notificata e biometria, senza accessi anomali o malfunzionamenti dei sistemi.

La motivazione del Collegio

In via preliminare, il Collegio respinge l’eccezione di inammissibilità del ricorso per assenza di elementi probatori. La mancanza di affermazioni e allegazioni del cliente sulle modalità della frode non osta alla regolare proposizione del ricorso, ma riguarda il merito e la prova della fondatezza della pretesa.

Nel merito, il ricorso ha ad oggetto una sola operazione e-commerce del 12.05.2025, pari a € 1.938,38, eseguita in moneta kazaka. Il cliente, sia nel ricorso sia nella denuncia, si limita a disconoscere l’operazione senza indicare la dinamica della frode.

Quanto alla verifica della S.C.A., l’intermediario afferma e comprova che l’operazione è stata autenticata tramite 3DSecure, con invio della notifica push quale richiesta di conferma, poi confermata tramite biometria. Le evidenze in atti consentono quindi di confermare la sussistenza dei parametri di autenticazione, come già ritenuto dal Collegio in decisione n. 7783/24 e decisione n. 2807/2025.

Il Collegio ricorda l’orientamento condiviso tra i Collegi: la mancata allegazione dei fatti rileva, tra i vari elementi, per la valutazione della colpa grave del ricorrente solo una volta verificata la sussistenza della S.C.A. In particolare, la mancata produzione del messaggio civetta — o, per il vishing, del registro delle chiamate — determina il rigetto del ricorso, perché non consente di verificare se il mittente o il chiamante sia riconducibile all’intermediario e quindi se sia configurabile un legittimo affidamento dell’utente sulla genuinità del messaggio o della telefonata ricevuti.

Da qui il rigetto della pretesa: accertata la regolare autenticazione dell’operazione e in assenza di qualsiasi allegazione utile sulla frode, il ricorso del cliente non è accolto.