Frode informatica e spoofing bancario: la SCA parziale non vale come autorizzazione (ABF Collegio di Milano n. 3371 del 16.04.2026)

Principi di diritto (Massima)
Nella disciplina dei servizi di pagamento, il concorso causale parziale dell’utente nella fase dispositiva o autorizzativa non rende per ciò solo autorizzata l’operazione: la nozione rilevante non è quella civilistica di consenso, ma quella dell’art. 10-bis del d.lgs. n. 11/2010, che esige l’autenticazione nella forma convenuta. Grava sul prestatore di servizi di pagamento l’onere di provare la corretta registrazione, contabilizzazione e autenticazione forte (SCA) dell’operazione contestata. Tale onere non viene meno quando la procedura sia esternalizzata a un wallet provider: il PSP resta responsabile e deve essere in grado di verificare la conformità delle procedure affidate a terzi. La carenza probatoria non può essere supplita dall’utilizzatore, che non è in grado di estrarre i dati dal proprio dispositivo. Il PSP risponde, inoltre, delle operazioni compiute in presenza di gravi indici di anomalia previsti dal D.M. n. 112/2007.

Il Fatto

Il ricorrente subisce, il 1° ottobre 2025, dieci operazioni di pagamento sulla propria carta per complessivi € 1.080,90. Un sedicente operatore del reparto antifrode, contattatolo da un numero che sul display appariva riconducibile all’intermediario, lo convince a seguire istruzioni che lo inducono a uscire e rientrare più volte dall’app e a trasferire provvista sul conto. Nel giro di pochi minuti si perfezionano otto pagamenti tramite la carta associata al conto e due pagamenti verso un esercente, eseguiti mediante carta aggiunta a un’app di wallet providing.

Il ricorrente contesta le operazioni, chiede il rimborso, presenta denuncia e reclamo, ottenendo esito negativo. L’intermediario eccepisce l’inapplicabilità della disciplina sulle operazioni non autorizzate, sostenendo che il cliente abbia agito personalmente, sia pure tratto in inganno, con autenticazione 3D Secure regolare, e invoca la colpa grave dell’utente quale fonte esclusiva del danno.

La motivazione del Collegio

Il Collegio respinge la preliminare dell’intermediario. Richiamando l’orientamento dei Collegi, osserva che l’apporto del cliente è stato solo parziale e che, in presenza di un concorso causale nella fase dispositiva o autorizzativa, la transazione non può dirsi autorizzata per ciò solo. La normativa speciale, infatti, prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e PSP. Da qui la necessità di esaminare i log prodotti dall’intermediario.

Il Collegio ricostruisce il quadro normativo sulla SCA: artt. 97 e 98 PSD2, art. 10-bis del d.lgs. n. 11/2010, norme tecniche EBA recepite nel Regolamento Delegato UE 2018/389, applicabile dal 14 settembre 2019. L’autenticazione forte richiede almeno due dei tre fattori — conoscenza, possesso, inerenza — reciprocamente indipendenti. Quanto alle operazioni di giroconto che hanno precostituito la provvista, il Collegio richiama la decisione del Collegio di Coordinamento n. 8671/2024, che ne esclude l’assoggettamento alla responsabilità per operazioni non autorizzate.

Per le prime otto operazioni l’autenticazione risulta avvenuta con impronta digitale previa notifica push sull’app registrata: secondo l’orientamento dei Collegi, questa tipologia di log è sufficiente a ritenere l’operazione correttamente autenticata. Per le ultime due, eseguite tramite carta wallet, l’intermediario non ha prodotto i log, avendone demandato la gestione al provider. Il Collegio rileva che, quando il wallet è gestito tramite servizi di un provider terzo, sono emerse carenze informative; ma precisa che l’esternalizzazione delle procedure di SCA non comporta perdita di responsabilità del PSP, che deve poter verificare la conformità delle procedure esternalizzate.

Il Collegio valorizza poi la circostanza dello spoofing telefonico, risultando comprovata la riconducibilità del numero a quello in uso all’intermediario. Sussistono inoltre gravi indici di anomalia ex D.M. n. 112/2007: sette o più richieste di autorizzazione sulla stessa carta nelle 24 ore e tre o più richieste presso il medesimo esercente. Il ricorso è pertanto accolto parzialmente, con esclusione delle prime due operazioni, e l’intermediario è condannato a corrispondere € 781,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00.