Accesso fraudolento all’internet banking e prova della colpa grave del cliente (ABF Collegio di Milano n. 8134 del 09.09.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la disciplina del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva PSD2, pone a carico del prestatore di servizi di pagamento l’onere di dimostrare che l’operazione è stata autenticata e registrata con precisione. Ove risulti documentalmente la conformità dell’operazione alla Strong Customer Authentication, con la compresenza di almeno due fattori indipendenti, l’accertamento si sposta sulla colpa grave del cliente, la cui prova di autenticazione costituisce prius logico. La rivelazione a terzi delle credenziali e del codice OTP ricevuto via SMS, che consente l’enrollment di un nuovo dispositivo, integra la colpa grave dell’utilizzatore. La mancata allegazione del registro delle chiamate impedisce di verificare la riconducibilità del numero telefonico all’intermediario e di configurare un legittimo affidamento sulla genuinità della richiesta.

Il Fatto

Il ricorrente, dopo l’esito insoddisfacente del reclamo, si rivolge all’Arbitro deducendo di aver ricevuto in data 14/10/2025 una notifica di tentativo di accesso al proprio Internet banking, prontamente rifiutata. Riferisce di essere stato poi contattato telefonicamente da un soggetto qualificatosi come operatore antifrode dell’intermediario, il quale gli aveva comunicato che erano in corso operazioni fraudolente; su tale premessa comunicava il codice OTP ricevuto via SMS, senza però indicare la password, lo User ID o i dati della carta.

Accortosi della truffa per l’esecuzione di un pagamento con carta di credito di € 531,36 disconosciuto, il ricorrente lamenta di essere stato vittima di spoofing e contesta la sussistenza della colpa grave, chiedendo il rimborso. L’intermediario si costituisce rilevando che l’operazione si è perfezionata mediante il protocollo 3D Secure, senza malfunzionamenti o intrusioni nei propri sistemi, e addebita al cliente di aver dissociato lo smartphone dall’utenza e di aver rivelato Codice Utente, password e OTP, consentendo l’enrollment del dispositivo del truffatore. Chiede quindi il rigetto del ricorso e, in subordine, l’accertamento del concorso di colpa e l’applicazione della franchigia.

La Motivazione della Corte

Il Collegio ricostruisce il quadro normativo rinvenendolo nel d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 attuativo della direttiva PSD2, e negli artt. 97 e 98 della direttiva nonché nell’art. 10-bis del d.lgs. n. 11/2010, oltre che nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi dell’EBA, in particolare il parere del 21 giugno 2019. La SCA è richiesta per l’accesso al conto online, per la disposizione dell’operazione e per ogni azione a distanza che comporti rischio di frode, e si realizza con almeno due dei tre fattori indipendenti: conoscenza, inerenza e possesso.

La normativa distribuisce in modo differenziato gli oneri probatori in conseguenza del disconoscimento, con l’obiettivo di attribuire al prestatore la responsabilità degli utilizzi fraudolenti, salvo che essi siano stati cagionati da frode, dolo o colpa grave del cliente. Il criterio presuppone sul piano fattuale che l’utilizzo non autorizzato derivi da furto o smarrimento dello strumento, ovvero dall’illecito utilizzo dei codici dispositivi da parte di terzi.

Sul piano documentale, le tracciature versate in atti mostrano che lo User ID del log-in in App precedente all’operazione è il medesimo presente nel dettaglio dell’enrollment, abbinato a un unico dispositivo sin dal 27/11/2022. La SCA risulta correttamente eseguita: il login è avvenuto tramite l’App installata sul dispositivo del cliente, con fattore di possesso e Face ID quale fattore di inerenza. Anche la fase prodromica è ricostruita: il de-enrollment del dispositivo ha generato un OTP silente inviato dall’App al server del PSP e ha comportato la dissociazione del device quale riferimento per l’autorizzazione con SCA delle operazioni online.

Da ciò il Collegio desume che il cliente deve aver necessariamente comunicato ai malfattori il Codice Utente, la password per il primo accesso in App e il codice OTP ricevuto via SMS, consentendo l’associazione di un nuovo dispositivo e la creazione di un nuovo SmartPIN. L’operazione contestata, avvenuta con 3D Secure, è stata resa possibile dalla compresenza della notifica push inviata all’ultimo dispositivo associato e del fattore biometrico.

Accertata la conformità a SCA, il Collegio verifica la colpa grave, rispetto alla quale la prova di autenticazione rappresenta prius logico, richiamando Coll. coord., dec. n. 22745/2019. Il cliente non fornisce alcuna prova documentale della chiamata ricevuta; secondo il consolidato indirizzo dello stesso Collegio, la mancata allegazione del registro delle chiamate non consente di verificare la riconducibilità del numero all’intermediario né di configurare un legittimo affidamento. Trattandosi di un’unica operazione, irrilevante è la mancata evidenza dell’attivazione del servizio di SMS alert, poiché la notifica push, dopo l’enrollment sul device dei truffatori, è stata inviata a questi ultimi. Il ricorso è pertanto non accolto.

Note di conformità:

– Il numero 8134 e la data 09.09.2026 compaiono letteralmente nella riga “Decisione N. 8134 del 09 settembre 2026”, presente in ciascun piè di pagina; entrambi sono riportati verbatim nella prima riga di NOTE.
– Non esistono estremi in blocco separato: ho ricavato gli estremi solo dal testo.
– Le sezioni “Il Fatto” e “La Motivazione della Corte” e la massima sono riscritte e non contengono nomi: nessun nome di Presidente, Relatore o membri del Collegio nel CONTENUTO (sono solo in NOTE).
– I riferimenti normativi e i precedenti sono in grassetto; ho segnalato in NOTE il refuso “PDS2” senza usarlo nel corpo.