Frode informatica con SCA regolare e colpa grave del cliente esclude rimborso (ABF Collegio di Milano n. 2979 del 02.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la prova della strong customer authentication grava sull’intermediario e costituisce un prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa del cliente. Ove i log informatici e gli elementi esplicativi del prestatore di servizi di pagamento dimostrino l’impiego di almeno due fattori indipendenti per ciascuna operazione, l’onere probatorio è assolto. Accertata l’autenticazione, resta la valutazione della condotta dell’utente ai sensi dell’art. 12 d.lgs. n. 11/2010: integra colpa grave il comportamento di chi, indotto da un frodatore, fornisca dati personali e confermi in APP una serie ravvicinata di disposizioni, ignorando gli avvisi di sicurezza dell’home banking. Non è configurabile una responsabilità oggettiva dell’intermediario, sicché in assenza di un apporto causale del prestatore il ricorso va respinto.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 23 settembre 2025 un SMS su un presunto pagamento sospetto, apparentemente inserito in un thread genuino dell’intermediario. Chiamava il numero indicato e, dopo una voce registrata identica al numero verde, dialogava con un sedicente operatore che lo induceva a confermare dati sensibili e ad autorizzare pagamenti per complessivi € 13.797,50. Le operazioni contestate erano sei: un trasferimento peer-to-peer, tre pagamenti con carta e due bonifici istantanei, eseguiti tra le 23.04 e le 23.39.

Presentava denuncia e reclamo, riscontrato negativamente, e adiva l’Arbitro Bancario Finanziario chiedendo il rimborso. L’intermediario eccepiva l’irricevibilità e l’infondatezza, sostenendo che tutte le operazioni erano state autenticate in APP sul dispositivo del cliente e che lo stesso aveva ammesso di aver comunicato i propri dati al frodatore.

La motivazione del Collegio

Il Collegio ricorda che alla data dei fatti trovava applicazione il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della PSD2, insieme al Regolamento Delegato UE 2018/389. La prova dell’autenticazione è a carico dell’intermediario e precede ogni valutazione sulla colpa. Solo se le operazioni risultino compiute direttamente e interamente dal cliente l’onere probatorio si alleggerisce.

Esaminando i log, il Collegio rileva che le sei operazioni si sono svolte in altrettante sessioni in APP, avviate tramite id biometrico (fattore di inerenza) e utilizzo dell’applicazione installata sul dispositivo personale associato in via esclusiva al conto (fattore di possesso). La prima operazione e i bonifici risultano autorizzati con codice PIN di conferma e notifica push; i tre pagamenti con carta con convalida push e fattore biometrico. Il ricorrente non ha mosso contestazioni specifiche su tali evidenze. La SCA è dunque provata per ogni fase.

Appurata l’autenticazione, il Collegio valuta la condotta e ravvisa la colpa grave. Il cliente si è lasciato convincere, ingenuamente e imprudentemente, a compiere una serie ravvicinata di operazioni e a fornire dati personali secondo una tecnica fraudolenta ormai diffusa e nota. I messaggi civetta presentavano errori e imprecisioni, la chiamata non era riconducibile al numero dell’intermediario, e i log attestano che il cliente ha più volte ignorato i disclaimer di sicurezza (vishing.canceled), sottraendosi a un presidio di tutela.

Nessuna colpa concorrente è ascritta all’intermediario: risulta avviato il recall per i due bonifici, non è stato superato il plafond di spesa e non emergono indici di anomalia o rischio frode normalmente rilevabili. Il Collegio non accoglie quindi il ricorso.