Frodi online e autenticazione forte SCA la colpa grave del cliente (ABF Collegio di Milano n. 2019 del 06.03.2026)

Principi di diritto (Massima)
Nelle controversie relative a operazioni di pagamento non autorizzate, l’onere della prova dell’autenticazione forte (SCA) grava sull’intermediario e costituisce prius logico rispetto a ogni accertamento sulla colpa del cliente. Poiché la PSD2 è tecnologicamente neutrale, l’assolvimento dell’onere può desumersi, oltre che dai log, da legenda ed elementi esplicativi forniti dal prestatore, purché consentano di ricostruire i singoli passaggi dell’autenticazione. Accertata la SCA, resta da valutare il concorso causale del prestatore secondo il diritto comune, non essendo configurabile una responsabilità oggettiva. Le allegazioni contraddittorie e generiche del cliente sulla dinamica della frode, non integrate documentalmente, possono fondare il convincimento sulla sua colpa grave.

Il Fatto

Il ricorrente lamenta di essere stato vittima di una truffa consistita in due bonifici istantanei e in un acquisto online con carta di debito, per un totale di € 1.306,99. La banca aveva già rimborsato la metà dell’importo, pari a € 650,00, in fase di riscontro al reclamo; il cliente agisce quindi davanti all’Arbitro per la sola somma residua di € 656,90, oltre alle spese del ricorso.

L’intermediario resiste sostenendo l’avvenuto rispetto delle regole di autenticazione forte e l’esistenza di una colpa grave del cliente, che avrebbe attivato l’app su un dispositivo in uso ai truffatori solo un’ora prima delle operazioni e avrebbe condiviso i codici segreti. Il ricorrente, nelle repliche, nega di aver mai ricevuto una chiamata dalla banca e di aver rivelato i codici, ipotizzando un accesso abusivo dei terzi a una base dati dell’intermediario.

La motivazione del Collegio

Il Collegio muove dal quadro normativo: il D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 in attuazione della direttiva PSD2, gli artt. 97 e 98 della stessa, l’art. 10-bis del D.lgs. 11/2010 e il Regolamento delegato UE 2018/389. Da tale cornice ricava il principio per cui la prova dell’autenticazione è condizione logica preliminare a ogni valutazione sulla colpa del cliente.

Sul piano probatorio, il Collegio ritiene che i log informatici, integrati dalla legenda e dalle spiegazioni del prestatore, possano dimostrare la SCA, anche quando dalla tracciatura non emerga esplicitamente uno dei fattori. Le evidenze documentali mostrano che l’enrollment dell’app sul dispositivo dei truffatori è avvenuto il 9 agosto 2025 alle ore 10:06 mediante inserimento del codice cliente, della data di nascita e di tre cifre del PIN (fattore di conoscenza) e del codice OTP ricevuto via SMS sul numero del cliente (fattore di possesso). L’accesso web è stato completato con PIN e riconoscimento facciale FaceID. I due bonifici risultano autenticati tramite smartcode e notifica push sul device abilitato; l’operazione e-commerce con push e FaceID. Il Collegio richiama la Q&A EBA n. 4984/2019 sulla push-based authentication.

Accertata la SCA, resta da verificare il concorso causale dell’intermediario secondo il diritto comune, non essendo configurabile una responsabilità oggettiva. Qui il Collegio valorizza le contraddizioni del ricorrente: la chiamata ricevuta dalla banca nella denuncia e la sua negazione nelle repliche, senza produzione del registro delle chiamate. Tali allegazioni imprecise e non documentate fondano il convincimento sulla colpa grave del cliente.

La condotta dell’intermediario non presenta profili di concorso colposo. Il Collegio ritiene irrilevante il mancato invio dell’alert per la terza operazione, eseguita circa nove ore dopo i bonifici e dunque autonoma rispetto agli stessi. Il ricorso è pertanto respinto.