Phishing con autenticazione forte e colpa grave del cliente: ricorso respinto (ABF Collegio di Milano n. 3217 del 10.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la circostanza che il cliente abbia inserito i propri dati su una pagina fraudolenta non esclude di per sé l’applicabilità della disciplina del d. lgs. n. 11/2010 e della PSD2, poiché il consenso rilevante è quello prestato nella forma convenuta e non quello civilistico. L’operazione preparata dal truffatore con i codici dispositivi del cliente non è eseguita per intero dal pagatore. Accertata la conformità dell’operazione alla strong customer authentication, il giudizio si sposta sulla colpa grave del cliente. Questa sussiste quando il messaggio civetta e il link truffaldino non sono neppure in apparenza riferibili all’intermediario, che non ha quindi concorso a creare l’apparenza di genuinità.

Il Fatto

Il ricorrente riceve un sms apparentemente proveniente dal servizio postale, relativo alla consegna di un pacco realmente atteso quello stesso giorno, con l’indicazione che la spedizione era in attesa di aggiornamento per mancanza del numero civico. Cliccando sul link e inserendo i dati della carta, il cliente paga una somma simbolica di € 0,27, convinto della genuinità del messaggio. Viene poi indirizzato all’app della banca, dove completa l’accesso tramite Face ID. Subito dopo riceve un sms che lo informa dell’addebito di € 394,59 e blocca immediatamente la carta.

Il ricorrente chiede il rimborso, lamentando che per l’operazione contestata non sia stato richiesto il codice OTP normalmente previsto. L’intermediario si oppone, sostenendo che il cliente abbia personalmente autorizzato l’operazione e invocando la sua colpa grave per aver seguito le istruzioni di un tentativo di phishing.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile: il d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE, impone ai prestatori di servizi di pagamento sistemi di sicurezza idonei a impedire l’accesso di terzi ai dispositivi degli utilizzatori, secondo il modello della strong customer authentication. Gli artt. 97 e 98 della direttiva PSD2 e l’art. 10-bis del d. lgs. n. 11/2010, insieme alle norme tecniche EBA recepite dal Regolamento Delegato UE 2018/389, richiedono l’uso di almeno due fattori indipendenti tra conoscenza, inerenza e possesso.

Sul piano dell’onere probatorio, la normativa attribuisce la responsabilità degli utilizzi fraudolenti all’impresa, salvo che essi siano stati cagionati da frode, dolo o colpa grave del cliente. Il Collegio respinge però la tesi dell’intermediario secondo cui la dichiarazione resa nella denuncia, con cui il cliente ammetteva di aver inserito e autorizzato l’operazione tramite il proprio device, sarebbe confessoria e basterebbe a escludere l’applicabilità della disciplina speciale.

L’orientamento uniforme dei Collegi, richiamato nella decisione, chiarisce che la transazione non è autorizzata per ciò solo, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta. Quando l’operazione online è preparata dal truffatore che dispone dei codici del cliente, essa non può ritenersi eseguita per intero dal pagatore. Nel caso di specie, dunque, il Collegio esclude che l’operazione sia stata eseguita personalmente dal ricorrente.

Dalle tracciature informatiche emerge tuttavia che l’operazione è stata autorizzata mediante notifica push sul dispositivo del cliente, quale fattore di possesso, e successiva conferma tramite riconoscimento biometrico, quale fattore di inerenza. L’autenticazione è quindi conforme alla SCA, in linea con l’ammissione del cliente di aver utilizzato il proprio Face ID. La prova di autenticazione costituisce così il prius logico dell’esame della colpa grave, secondo il richiamo a Coll. coord. n. 22745/2019.

Su questo terreno il ricorso non supera la verifica. Il messaggio civetta proveniva da un’utenza mobile e non era neppure in apparenza riferibile alla banca, riguardando la spedizione di un pacco. La schermata successiva al click era riferibile all’operatore postale. Nella chat della banca risultano solo messaggi relativi a OTP per una diversa transazione di € 413,49, non eseguita e non oggetto del ricorso. Poiché la truffa è stata perpetrata tramite canali in alcun modo riconducibili all’intermediario, il Collegio richiama Coll. Milano n. 5390/2025 e ritiene che, ove il cliente avesse rispettato l’obbligo di prudente custodia delle proprie credenziali, avrebbe potuto impedire il perfezionamento dell’operazione fraudolenta. Il ricorso è pertanto non accolto.