Frodi bancarie e phishing: SCA provata e colpa grave del cliente escludono il rimborso (ABF Collegio di Milano n. 3811 del 30.04.2026)

Principi di diritto (Massima)
L’intermediario che, nelle operazioni di pagamento a distanza disconosciute, prova l’autenticazione forte (SCA) tanto nella fase di accesso al conto quanto in ciascuna operazione, mediante l’uso combinato del device certificato e delle notifiche push con dynamic linking, è esonerato da responsabilità. Grava sempre sull’intermediario la prova della colpa grave del cliente. Costituisce colpa grave la condotta di chi, contattato telefonicamente da sedicenti operatori e sedicenti appartenenti alle forze dell’ordine, disponga operazioni di pagamento seguendo le istruzioni dei frodatori, senza riscontri sugli strumenti ufficiali dell’intermediario. L’eventuale responsabilità concorrente dell’intermediario si esclude quando questi abbia predisposto strumenti di prevenzione documentati.

Il Fatto

Il ricorrente riferisce di aver ricevuto, la sera del 17 settembre 2025, un SMS apparentemente riconducibile all’intermediario, con l’avviso di un’operazione in uscita e l’invito a chiamare un numero telefonico. Contestualmente comparivano sulla app le notifiche relative all’operazione, seguite da un flusso reiterato di notifiche che, secondo la prospettazione del ricorrente, rendeva impossibile negare le operazioni stesse.

Contattato il numero indicato, un sedicente operatore della banca confermava la necessità di bloccare una frode; poco dopo una seconda telefonata, di un sedicente appartenente alle forze dell’ordine, induceva il ricorrente a disporre bonifici e pagamenti. Cinque operazioni, tra bonifici e pagamenti MoneyB*, venivano eseguite in ventiquattro minuti per complessivi 9.740,17 euro. Il ricorrente chiede il rimborso integrale; l’intermediario resiste sostenendo la corretta autenticazione delle operazioni e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio richiama i principi consolidati: l’intermediario deve provare la SCA in tutte le fasi, anche prodromiche, e la prova della colpa grave del cliente. Nel caso concreto i log prodotti documentano tre sessioni in-app avviate in sequenza, con accesso biometrico e device associato univocamente al conto dal 2021: la prova dell’autenticazione nella fase di login è raggiunta.

Quanto alle tre operazioni con carta, la documentazione dimostra l’uso della modalità 3DS con dynamic linking e conferma push sul dispositivo del ricorrente, con riutilizzo del fattore biometrico della sessione in corso. Il Collegio richiama l’opinion EBA Q&A 2018_4141, che ammette il riutilizzo del fattore di accesso nella stessa sessione, purché l’associazione produca il dynamic linking: prova raggiunta anche qui.

Sui pagamenti MoneyB* l’intermediario illustra il sistema, che richiede il PIN di conferma creato dal cliente e la notifica push del device associato. La documentazione comprova l’immissione del codice segreto e le notifiche autorizzative.

Acquisita la SCA, il Collegio passa alla colpa grave, ricostruita sulla base della denuncia del ricorrente: SMS civetta proveniente da un numero non riconducibile all’intermediario, telefonate di sedicenti operatori e di un sedicente Maresciallo dei Carabinieri, esecuzione reiterata delle transazioni nonostante i dubbi manifestati. Il Collegio ritiene che il tenore letterale dei messaggi non potesse creare alcun affidamento sulla loro genuinità, anche a prescindere dalla diffusione dello spoofing e delle truffe di falsi appartenenti alle forze dell’ordine. La colpa grave del cliente è dunque sussistente.

Da ultimo, il Collegio esamina la responsabilità concorrente dell’intermediario: non risulta attivo un servizio di sms-alert, ma l’intermediario ha documentato l’avviso di sicurezza in-app contro il vishing, con richiesta di verifica del chiamante e pulsanti di conferma o segnalazione, risultato inviato cinque volte al ricorrente. Il ricorso è pertanto non accolto.