Colpa grave del cliente e concorso dell’intermediario per difetto di SMS alert (ABF Collegio di Milano n. 4172 del 08.05.2026)

Principi di diritto (Massima)
Nelle controversie sugli utilizzi fraudolenti di strumenti di pagamento online, l’intermediario deve provare che le operazioni siano state correttamente autenticate, registrate e contabilizzate e che il sistema di autenticazione sia conforme ai requisiti della strong customer authentication. Ove tale prova sia fornita e il cliente si limiti a disconoscere le operazioni senza allegare alcun elemento circostanziale sulle modalità della frode, il Collegio può desumerne la colpa grave del cliente. La responsabilità va tuttavia ripartita in concreto quando emergano indici di anomalia dell’operatività — tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore verso il medesimo beneficiario, operazioni notturne — e quando il servizio di SMS alert non abbia funzionato, potendo un tempestivo avviso consentire il blocco della carta e limitare il danno.

Il Fatto

Il ricorrente riscontrava sull’applicazione bancaria cinque addebiti anomali, eseguiti tra il 15 e il 31 ottobre 2025 sulla propria carta prepagata per complessivi € 1.467,95 e poi verificatisi come pagamenti effettuati in Romania. Il cliente dichiarava di non averli mai autorizzati, di essere l’unico utilizzatore della carta e di non aver mai comunicato il codice segreto; lamentava inoltre di non aver ricevuto le consuete notifiche di addebito e che l’applicazione aveva cessato di funzionare, rendendo necessaria una reinstallazione con nuovi codici.

Dopo il blocco della carta e la denuncia del 05.11.2025, il ricorrente disconosceva le operazioni e otteneva inizialmente il rimborso. In data 19.11.2025 l’intermediario, all’esito di propri accertamenti, procedeva al ri-addebito delle somme e respingeva il successivo reclamo. Da qui il ricorso all’Arbitro.

La motivazione del Collegio

In via preliminare il Collegio dichiara inammissibile la domanda di interessi e rifusione delle spese, formulata per la prima volta con le repliche: le Disposizioni ABF, Sezione VI, Par. 1, prevedono il termine perentorio di 25 giorni per la memoria di replica e precludono l’ampliamento della domanda iniziale.

Nel merito, le operazioni rientrano nel D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della PSD2. Ai sensi dell’art. 10 del D.lgs. 11/2010 grava sull’intermediario la prova dell’avvenuta autenticazione, registrazione e contabilizzazione; solo dopo spetta all’intermediario provare il dolo o la colpa grave dell’utilizzatore, secondo l’orientamento del Collegio di Coordinamento n. 22745/2019.

Quanto alla SCA, il Collegio richiama gli artt. 97 e 98 della PSD2, l’art. 10-bis del D.lgs. 11/2010 e il Regolamento Delegato UE 2018/389. Nel caso concreto il sistema concorreva il fattore di possesso — ricezione e validazione della notifica push sul dispositivo certificato — e quello di conoscenza — inserimento del Codice PIN dieci secondi dopo l’invio — sicché l’autenticazione risulta conforme alla disciplina. Il dispositivo era sempre il medesimo e le notifiche risultavano regolarmente consegnate.

Il ricorrente, tuttavia, non ha allegato alcun elemento concreto sulle modalità della frode, limitandosi a ipotizzare un attacco hacker al proprio cellulare senza supporto documentale. Per l’orientamento dei Collegi — richiamate le decisioni Collegio di Milano nn. 10876/2022 e 2036/2023 — la mancata allegazione delle circostanze di fatto, compreso il messaggio civetta, integra un elemento valutabile ai fini della colpa grave del cliente.

Il Collegio rileva però anche indici di anomalia riconducibili all’art. 8, lett. a), punto 2, del D.M. 112/2007: tre autorizzazioni in data 30.10.2025 verso lo stesso beneficiario e un’operazione notturna del 15.10.2025. A ciò si aggiunge il mancato recapito dell’SMS di avviso relativo alla prima operazione, con esito negativo. Richiamata la decisione del Collegio di Coordinamento n. 8672/2024, il Collegio afferma che il funzionamento del servizio di alert è presidio di sicurezza ex post, irrilevante per operazioni isolate ma suscettibile di valutazione quando un tempestivo avviso avrebbe potuto indurre il cliente a bloccare la carta prima delle operazioni successive.

Da qui la ripartizione della responsabilità in concorso di colpa e la condanna dell’intermediario al rimborso di due operazioni eseguite nelle 24 ore tra il 30 e il 31.10.2025, per € 653,98 arrotondati a € 654,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.