Autenticazione forte non sana phishing con errore grave del cliente (ABF Collegio di Milano n. 4838 del 28.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate conseguenti a phishing, il prestatore di servizi di pagamento che dimostri l’avvenuta autenticazione forte dell’operazione, mediante notifica PUSH sul dispositivo certificato e successivo inserimento del codice personale, assolve all’onere probatorio sull’autenticazione e sulla corretta registrazione contabile. Tale prova non equivale però a dimostrazione dell’autorizzazione dell’operazione né esclude l’indagine sulla colpa grave dell’utente, che grava comunque sul PSP. La colpa grave non può desumersi dalla sola allegazione della corretta autenticazione, ma richiede elementi specifici e concreti di palese e macroscopica violazione degli obblighi di diligenza e custodia delle credenziali. Integra colpa grave la condotta del cliente che, per incassare il prezzo di una vendita online, segua il link di una e-mail sospetta e autorizzi, tramite l’app bancaria e l’inserimento del PIN, tre distinte operazioni di pagamento in uscita, in quanto l’idea di dover disporre pagamenti per ricevere denaro è intrinsecamente contraddittoria.

Il Fatto

Il ricorrente metteva in vendita uno smartphone su una nota piattaforma di e-commerce al prezzo di € 580,00. In pari data riceveva una e-mail che confermava l’avvenuto acquisto e lo invitava a cliccare su un link per incassare il corrispettivo. Seguendo le istruzioni, il cliente confermava per tre volte, con codici diversi, alcune operazioni tramite l’app del proprio istituto di credito, nella convinzione di finalizzare una transazione in entrata. Solo alla richiesta di un quarto codice si avvedeva che dal conto erano stati eseguiti tre prelievi, per € 700,00, € 281,00 e € 319,00, per un totale di € 1.300,00.

Bloccava quindi la carta e sporgeva denuncia. Il reclamo all’intermediario aveva riscontro negativo. Il ricorrente chiedeva la restituzione dell’importo, sostenendo di non aver mai avuto consapevolezza di disporre pagamenti in uscita e contestando l’idoneità delle notifiche PUSH a renderlo edotto della natura dispositiva delle operazioni. L’intermediario eccepiva il valore confessorio delle dichiarazioni rese in denuncia e, nel merito, la corretta autenticazione forte e la colpa grave del cliente.

La motivazione del Collegio

La questione attiene alla richiesta di rimborso di somme addebitate a seguito di operazioni disconosciute, perfezionatesi nell’ambito di una frode informatica nota come phishing. Il Collegio richiama la disciplina del D.Lgs. 27 gennaio 2010, n. 11, che recepisce la direttiva PSD2, e in particolare l’art. 10, che pone sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti o altri inconvenienti.

Il comma 2 del medesimo articolo precisa che l’utilizzo di uno strumento di pagamento non è di per sé sufficiente a dimostrare che l’operazione sia stata autorizzata, né che l’utente abbia agito con dolo o colpa grave, la cui prova resta a carico del PSP. Nel caso di specie l’intermediario ha fornito evidenza documentale, tramite log informatici, che le operazioni sono state autorizzate mediante un sistema di autenticazione forte (SCA), in conformità all’art. 10-bis del decreto: notifica PUSH sul dispositivo mobile censito e certificato, elemento di “possesso”, e successiva autorizzazione con codice PIN, elemento di “conoscenza”. Il Collegio ritiene pertanto assolto l’onere probatorio sulla corretta autenticazione.

Resta da valutare la colpa grave. Secondo l’orientamento consolidato dell’Arbitro, essa non si desume dalla mera allegazione della corretta autenticazione, ma deve essere provata con elementi specifici e concreti che dimostrino una palese e macroscopica violazione degli obblighi di diligenza e custodia delle credenziali. Il Collegio osserva che il ricorrente ha seguito il link di una e-mail sospetta e ha autorizzato tre distinte operazioni di pagamento in uscita tramite l’app della banca. La condotta appare connotata da evidente e non scusabile negligenza, poiché l’idea di dover autorizzare operazioni dispositive per ricevere un pagamento è intrinsecamente contraddittoria rispetto alle più elementari regole di prudenza.

Il Collegio richiama la diffusione del fenomeno del phishing e le campagne informative degli istituti di credito, da cui deriva l’attesa di un consumatore mediamente avveduto capace di riconoscere i tentativi di frode più comuni. Il ricorrente ha attivamente cooperato con i truffatori, autorizzando le transazioni con il proprio PIN, e l’errore non è scusabile. Le doglianze sulla non chiarezza delle notifiche PUSH non scalfiscono il quadro: confermare un’operazione con un codice personale segreto è un’azione dispositiva che richiede la massima cautela, e la ripetizione per tre volte in un breve lasso di tempo rafforza la valutazione di grave imprudenza. L’intermediario ha quindi fornito prova sufficiente della colpa grave, configurabile come causa esclusiva del danno, che esclude il diritto al rimborso. Il ricorso non è accolto.