Phishing e autorizzazione biometrica: la colpa grave del cliente esclude il rimborso (ABF Collegio di Roma n. 231 del 13.01.2026)

Principi di diritto (Massima)
Nelle controversie su operazioni di pagamento non autorizzate, è l’intermediario a dover provare l’avvenuta autenticazione mediante un sistema di autenticazione forte del cliente (SCA), oltre alla corretta registrazione e contabilizzazione delle operazioni. È parimenti l’intermediario a dover dimostrare i fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’utilizzo fraudolento dello strumento di pagamento. La modalità di autorizzazione che combina la notifica push ricevuta sull’app bancaria con l’inserimento del fattore biometrico integra un’autenticazione forte conforme alla normativa di settore. Versa in colpa grave il cliente che, per un verso, trasmetta i dati della propria carta a un sito-clone non riconducibile all’intermediario e, per altro verso, autorizzi i pagamenti pur essendo la parte venditrice del bene.

Il Fatto

Il ricorrente ha pubblicato su una nota piattaforma online un annuncio di vendita di un bene per 450,00 euro. Un sedicente acquirente lo ha contattato proponendo di utilizzare una piattaforma di pagamento e spedizioni e gli ha inviato un link che reindirizzava verso un sito-clone. Il ricorrente ha inserito i dati personali e quelli della carta emessa dall’intermediario, subendo due addebiti da 270,04 euro ciascuno.

L’intermediario ha riferito che le operazioni, eseguite il 7 giugno 2025, erano state autorizzate tramite l’APP bancaria: il cliente aveva ricevuto due notifiche riepilogative e le aveva approvate con riconoscimento biometrico. La conversazione con il frodatore dimostrava che l’operazione si era svolta su una piattaforma estranea a quella della banca. Il ricorrente ha chiesto la restituzione di 540,08 euro; l’intermediario ha insistito per il rigetto.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017 di recepimento della direttiva PSD 2. Richiamando la decisione del Collegio coordinato n. 22745 del 2019, individua due profili dirimenti: la prova dell’autenticazione forte e la prova della colpa grave dell’utilizzatore.

Sul primo versante, il Collegio richiama l’art. 12, comma 2 bis, d.lgs. n. 11 del 2010: il pagatore non sopporta alcuna perdita se il prestatore non esige un’autenticazione forte. Nel caso concreto le operazioni risultano autenticate mediante notifica push sullo smartphone e inserimento del fattore biometrico. Tale modalità è già stata ritenuta conforme alla SCA dal Collegio di Roma (dec. n. 6187 del 2022). L’intermediario ha dunque dato prova di essersi dotato di un sistema adeguato.

Quanto al secondo profilo, la mancata attivazione del servizio di alert non rileva, poiché il ricorrente ha ammesso in denuncia di aver ricevuto le notifiche push autorizzative dei pagamenti.

Il Collegio ritiene la condotta del ricorrente gravemente colposa. Egli ha fornito i dati della carta a un sito-clone non riconducibile all’intermediario. Inoltre, pur avvertito dalla ricezione delle notifiche, non si è avveduto di autorizzare due pagamenti nonostante fosse la parte venditrice del bene, e quindi destinataria di un incasso e non di un esborso. Il ricorso è pertanto respinto.