Mancata allegazione messaggio civetta integra colpa grave del cliente (ABF Collegio di Milano n. 194 del 13.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite online, quando l’intermediario offre la prova dell’autenticazione delle transazioni disconosciute e il sistema di pagamento risulta conforme alla Strong Customer Authentication, le mancate allegazioni del cliente sulle modalità della frode subita costituiscono elemento dal quale il Collegio trae il proprio convincimento circa la colpa grave del cliente stesso. In particolare, la mancata allegazione del messaggio civetta, e per il vishing del registro delle chiamate, non consente di verificare se il mittente o il chiamante sia riconducibile all’intermediario né se sussista un legittimo affidamento dell’utente circa la genuinità del messaggio o della telefonata ricevuti, e determina il rigetto del ricorso.

Il Fatto

La ricorrente, correntista di un intermediario bancario, riferisce di aver scoperto tramite e-mail di alert l’esecuzione, tra il 09 e il 12 maggio 2025, di cinque bonifici non autorizzati per complessivi € 3.714,00, oltre a operazioni con carta di credito per ulteriori € 1.930,00. Rappresenta di non essere riuscita a contattare la banca al numero di emergenza, attivo solo nei giorni feriali, di aver chiesto e ottenuto un cambio del numero di cellulare, di aver disposto un giroconto e di aver bloccato la carta presentando denuncia all’Autorità.

Dopo aver inoltrato il modulo di rimborso e una diffida legale, la ricorrente agisce davanti all’ABF chiedendo la restituzione delle somme. L’intermediario si oppone sostenendo che le operazioni sono state correttamente autenticate, che il 07/05/2025 è stata installata una nuova app su altro dispositivo e che la clientela è stata informata tramite campagne di sensibilizzazione contro le frodi.

La motivazione del Collegio

In via preliminare il Collegio esamina la domanda relativa alle operazioni con carta di credito. Rileva che non emergono elementi atti a confermare una previa contestazione all’intermediario delle stesse, né tramite denuncia né tramite apposito modulo. Nel rispetto del principio di corrispondenza tra reclamo e ricorso, tale parte della domanda è pertanto inammissibile.

Nel merito, la controversia riguarda i cinque bonifici eseguiti tra il 9 e il 12 maggio 2025. Il Collegio accerta che le operazioni sono state precedute dall’enrollment dell’app bancaria su un nuovo dispositivo il 07/05/2025 e che la relativa fase è stata autenticata tramite PIN, quale elemento di conoscenza, e invio di sms OTP sul recapito registrato, quale elemento di possesso. Analogamente è documentato l’accesso tramite il dispositivo su cui è stato eseguito l’enrollment.

Le operazioni contestate risultano tutte autenticate tramite Smart code e mobile token app, con procedure conformi alla Strong Customer Authentication. Il Collegio osserva però che la ricorrente non ha riferito nulla sulle modalità con cui si è realizzato l’utilizzo fraudolento: nella denuncia e nel ricorso rappresenta soltanto di essersi accorta della frode ricevendo le e-mail di alert. A fronte delle controdeduzioni, disconosce il dispositivo indicato dall’intermediario senza circostanziare gli accadimenti del 07/05/2025.

Richiamando l’orientamento dei Collegi in materia di utilizzi fraudolenti online, la decisione individua tre presupposti: la prova dell’autenticazione delle transazioni, la conformità del sistema alla SCA e l’assenza di indici di anomalia. In presenza di tali condizioni, la mancata allegazione del messaggio civetta assume rilievo probatorio e consente di desumere la colpa grave del cliente. Nel caso concreto il Collegio esclude inoltre elementi di anomalia delle operazioni, considerato l’arco temporale in cui sono state compiute.

La domanda è quindi dichiarata in parte inammissibile e in parte infondata.