Colpa grave dell’utente per omessa allegazione del messaggio civetta nella frode informatica (ABF Collegio di Milano n. 4171 del 08.05.2026)

Principi di diritto (Massima)
Nelle controversie relative all’utilizzo fraudolento di strumenti di pagamento, ai sensi dell’art. 10 del D.lgs. n. 11/2010, è onere dell’intermediario provare che le operazioni contestate siano state correttamente autenticate, registrate e contabilizzate e che non vi siano stati malfunzionamenti dei sistemi. Raggiunta tale prova e verificata la conformità del sistema alla strong customer authentication, spetta all’utente la dimostrazione del dolo o della colpa grave dell’intermediario, mentre la mancata allegazione delle circostanze di fatto della frode e, in particolare, del messaggio civetta o del registro delle chiamate costituisce elemento dal quale il Collegio trae il proprio convincimento circa la colpa grave del cliente. L’interpretazione sostanzialistica del servizio di alert comporta che il suo mancato funzionamento è irrilevante quando la frode si esaurisca in una sola operazione di pagamento.

Il Fatto

La ricorrente rappresenta di avere ricevuto, tra le ore 15:04 e le ore 15:15 del 24.09.2025, una serie di notifiche alert che la avvisavano dell’esecuzione di operazioni fraudolente su un dispositivo diverso dal proprio. Delle tre operazioni tentate andava a buon fine soltanto un prelievo di € 1.450,00 eseguito con la carta di debito. La cliente riferisce di avere immediatamente bloccato la carta e di avere presentato denuncia, esperendo inutilmente la fase del reclamo; chiede quindi il riaccredito dell’importo contestato.

L’intermediario controdeduce che in data 24.09.2025 l’applicazione bancaria era stata attivata su un nuovo dispositivo mediante inserimento di dati a conoscenza esclusiva del cliente, che le operazioni erano state correttamente autenticate e che sussisteva la colpa grave della ricorrente, la quale non si sarebbe attivata tempestivamente dopo gli alert e non avrebbe prodotto evidenze dei contatti ricevuti da sedicenti operatori. La ricorrente nega ogni cooperazione e sostiene di non avere mai utilizzato il riconoscimento facciale né ricevuto codici OTP.

La motivazione del Collegio

Il Collegio ricostruisce l’operazione contestata alla luce del D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD2). Richiama l’art. 10 del D.lgs. 11/2010 e l’orientamento del Collegio di Coordinamento n. 22745/2019, secondo cui l’onere probatorio sull’autenticazione grava sull’intermediario e solo in un secondo momento su questi ricade la prova del dolo o della colpa grave dell’utilizzatore.

Quanto alla SCA, le fonti sono individuate negli artt. 97 e 98 della PSD2, nell’art. 10-bis del D.lgs. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi EBA. L’autenticazione forte richiede almeno due dei tre fattori — conoscenza, inerenza, possesso — reciprocamente indipendenti.

La decisione passa quindi in rassegna i singoli passaggi documentati dai sistemi dell’intermediario: l’enrollment del nuovo dispositivo alle ore 15:06, con inserimento del codice cliente, della data di nascita e di tre cifre del PIN e validazione di un codice OTP inviato al numero registrato; l’accesso tramite FaceID; il blocco dell’applicazione originaria; l’aumento dei plafond da € 1.500,00 a € 5.000,00; la visualizzazione dei codici PAN e CVV; infine l’autorizzazione del pagamento alle ore 15:17:12 con notifica push e riconoscimento facciale. Per il Collegio le evidenze consentono di verificare i singoli passaggi e la prova della SCA deve ritenersi raggiunta.

Il fulcro argomentativo si sposta sulla condotta della cliente. La ricorrente non fornisce alcuna indicazione sulle modalità con cui sarebbe avvenuta la frode e nel modulo di disconoscimento segnala messaggi e chiamate di sedicenti operatori, senza produrre il messaggio civetta né la registrazione delle chiamate. Secondo il consolidato orientamento dei Collegi, tale omissione non consente di verificare la riconducibilità del contatto all’intermediario e fonda il convincimento sulla colpa grave, poiché l’enrollment ha richiesto dati a conoscenza esclusiva della cliente.

Il Collegio esclude inoltre inadempimenti dell’intermediario: gli alert via e-mail e push sono stati documentati e, per l’unica operazione contestata, la mancata fruizione del servizio di alert è irrilevante, avendo natura di presidio di sicurezza ex post. Il ricorso è pertanto rigettato.