Frode informatica e colpa grave del cliente nella mancata allegazione dei fatti (ABF Collegio di Milano n. 953 del 04.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che provi l’avvenuta autenticazione forte (SCA) dell’operazione mediante fattori di conoscenza e di possesso, con corretta registrazione e contabilizzazione, assolve il primo onere probatorio impostogli dall’art. 10 del D.lgs. n. 11/2010. Ai fini dell’esonero dalla responsabilità, la mancata allegazione da parte del cliente delle circostanze di fatto della frode subita costituisce elemento dal quale il Collegio può trarre il convincimento circa la colpa grave dell’utilizzatore, con conseguente rigetto della domanda di rimborso.

Il Fatto

La ricorrente ha disconosciuto una singola operazione di pagamento e-commerce dell’importo di € 181,49, eseguita il 27 agosto 2025, sostenendo di aver subito una frode informatica e di non aver mai autorizzato la transazione né comunicato a terzi le proprie credenziali. Ha riferito di aver segnalato tempestivamente l’operazione, presentato denuncia alle Autorità e inviato reclamo scritto all’intermediario.

L’intermediario ha respinto la richiesta di rimborso, eccependo che l’operazione era stata impartita con il corretto inserimento delle credenziali e che la procedura di autenticazione adottata era conforme ai requisiti della SCA. Ha inoltre dedotto che il cliente aveva ricevuto una notifica push e un sms alert, rimasti ignorati, e ha chiesto il rigetto del ricorso o, in subordine, di tener conto della responsabilità concorrente ai sensi dell’art. 1227 c.c.

La motivazione del Collegio

Il Collegio ricostruisce il regime di responsabilità per le operazioni di pagamento non autorizzate richiamando gli artt. 97 e 98 della PSD2, l’art. 10-bis del D.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019. La SCA richiede almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti e appartenenti a categorie diverse.

Quanto al riparto dell’onere probatorio, l’art. 10 del D.lgs. n. 11/2010 impone in prima battuta al prestatore di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Assolto questo onere, il prestatore deve ulteriormente dimostrare che l’uso indebito del dispositivo è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta dell’art. 7 del medesimo decreto.

Sul primo profilo, il Collegio ritiene provata la SCA: il dispositivo abitualmente impiegato dal ricorrente ha un codice univoco, l’operazione è stata autorizzata mediante validazione dell’OTP generato dall’APP installata su quel dispositivo, previa digitazione del PIN. Ricorrono dunque i fattori di conoscenza e di possesso.

Passando al profilo soggettivo, il Collegio rileva che la cliente nulla ha riferito sulle modalità dell’utilizzo fraudolento, limitandosi a dedurre di essersi accorta della frode ricevendo una notifica sull’APP della banca. Secondo l’orientamento condiviso tra i Collegi, una volta verificata la SCA, la mancata allegazione dei fatti può essere valutata tra gli elementi per formare il convincimento sulla colpa grave. Nel caso di specie il sistema di pagamento è conforme alla SCA, non emergono indici di anomalia delle operazioni e le mancate allegazioni della cliente costituiscono elemento da cui desumere la colpa grave. Il Collegio rileva inoltre che l’sms alert è stato inviato al corretto numero e la notifica push al device abitualmente utilizzato.

Il ricorso, pertanto, non è accolto.