Phishing e autenticazione forte: la banca non risponde se i sistemi non sono compromessi (ABF Collegio di Roma n. 691 del 26.01.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento a distanza eseguite dopo il 14.09.2019, il prestatore di servizi di pagamento risponde delle operazioni disconosciute solo se non ha esigito un’autenticazione forte del cliente ai sensi dell’art. 10-bis d.lgs. n. 11/2010. Quando l’operazione è disposta sull’app bancaria installata sul dispositivo del cliente, con accesso mediante codice personale e conferma tramite fattore biometrico o di conoscenza, ricorre un’autenticazione a più fattori conforme alla strong customer authentication. Se il cliente, vittima di phishing, comunica spontaneamente i propri codici su un sito clone, non vi è compromissione dei sistemi di sicurezza dell’intermediario e la perdita resta a carico del pagatore.

Il Fatto

Il ricorrente, titolare di una carta di debito, ha messo in vendita un bene su una nota piattaforma di e-commerce. Al momento della conferma della vendita si è aperta una pagina in cui gli veniva chiesto di indicare le coordinate per ricevere il pagamento; ha così inserito il codice della propria app bancaria. Subito dopo ha subito due addebiti, di € 199,00 e € 99,00, per complessivi € 298,00, poi contabilizzati.

Un operatore della banca lo ha contattato per verificare la genuinità delle operazioni; il cliente si è recato in filiale e ha bloccato la carta. Ha quindi chiesto all’ABF la restituzione della somma. L’intermediario ha eccepito che le operazioni erano state correttamente autenticate e che la frode era riconducibile a un classico schema di phishing, con social engineering ai danni del cliente. Il Collegio di Roma ha respinto il ricorso.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile. Le operazioni sono state eseguite il 15 luglio 2025, dunque dopo l’entrata in vigore della direttiva 2015/2366/UE (PSD2), recepita con il d.lgs. n. 218/2017, e dopo l’applicazione del regolamento delegato (UE) n. 2018/389, efficace dal 14.09.2019. Da quella data operano quindi le misure di sicurezza del d.lgs. n. 11/2010 in materia di autenticazione forte.

La regola sostanziale è chiara: ai sensi dell’art. 12, comma 2-bis, d.lgs. n. 11/2010, salvo il caso di frode del pagatore, questi non sopporta alcuna perdita se il prestatore non esige un’autenticazione forte del cliente. Il Collegio richiama poi la definizione dell’art. 1, comma 1, lett. q-bis), che richiede due o più elementi indipendenti tra conoscenza, possesso e inerenza, e l’Opinion EBA del 21 giugno 2019, che esclude la conformità dei dati stampati sulla carta usati come elementi autonomi.

Passando alla verifica concreta, il Collegio esamina i LOG prodotti dall’intermediario. L’app bancaria era installata sul dispositivo del ricorrente fin dal giugno 2021, sicché il frodatore non ha operato da un device diverso. L’accesso è avvenuto con il codice personale (fattore di conoscenza) e le operazioni sono state disposte sull’app installata sul telefono del cliente (fattore di possesso), con inserimento del fattore biometrico o di conoscenza. Il valore CHALLENGE nel campo del metodo di autenticazione conferma che è stata richiesta una SCA all’utente, secondo un sistema già ritenuto conforme dal Collegio di Roma.

Il Collegio rileva poi che il ricorrente ha instaurato le trattative su un sito non riconducibile all’intermediario ed è verosimilmente stato reindirizzato su un sito clone, dove ha digitato i codici segreti. In tali ipotesi i Collegi escludono la responsabilità della banca, non essendovi stata compromissione dei sistemi di sicurezza. Il ricorso è pertanto respinto.