Phishing, autenticazione SCA e colpa grave dell’utente nel pagamento non autorizzato (ABF Collegio di Torino n. 4866 del 28.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, l’intermediario che provi l’autenticazione forte del cliente (SCA), la corretta registrazione e contabilizzazione delle operazioni e l’assenza di malfunzionamenti delle procedure è esonerato da responsabilità, salvo che sia provata la frode, il dolo o la colpa grave dell’utilizzatore. La colpa grave non si identifica con qualsiasi imprudenza, ma solo con un contegno abnorme e inescusabile, valutato alla luce di tutte le circostanze del caso concreto e dimostrabile anche per presunzioni gravi, precise e concordanti. Integra colpa grave la condotta del cliente che, vittima di phishing tramite un canale estraneo all’intermediario, inserisca le credenziali della carta su un sito truffaldino e confermi l’operazione, permettendo così la realizzazione della truffa.

Il Fatto

Il ricorrente aveva effettuato una prenotazione presso una struttura alberghiera. Il 29 dicembre 2025 riceveva, tramite applicazione di messaggistica istantanea, un messaggio da un account business apparentemente riferibile alla struttura, che chiedeva una presunta verifica obbligatoria e gratuita dei dati dell’ospite e conteneva un link a un sito graficamente credibile. Convinto della legittimità della procedura, inseriva i dati della carta di debito e confermava l’operazione con fattore biometrico. Poco dopo rilevava due addebiti anomali da € 100,25 ciascuno, per un totale di € 200,50.

Il ricorrente chiedeva quindi all’ABF il rimborso della somma e la restituzione del contributo di procedura di € 20,00. L’intermediario resistente eccepiva che le operazioni erano state personalmente autorizzate con il device abituale, che il cliente aveva ammesso di aver inserito le credenziali sul sito truffaldino e che le sue dichiarazioni avevano valore confessorio, con conseguente esclusione di responsabilità della banca.

La motivazione del Collegio

Il Collegio rigetta anzitutto l’eccezione preliminare dell’intermediario. Non risulta agli atti alcuna dichiarazione di carattere confessorio idonea a provare che il ricorrente abbia eseguito integralmente e consapevolmente i pagamenti. Egli, ingannato dal raggiro, ha inserito i dati e confermato l’operazione nella convinzione di completare la verifica della prenotazione. Le operazioni vanno quindi qualificate come non autorizzate e sottoposte al regime del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366.

Passando al merito, il Collegio richiama le fonti sulla Strong Customer Authentication: gli artt. 97 e 98 della direttiva, gli artt. 10 e 10-bis del d.lgs. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA. L’art. 10 d.lgs. 11/2010 pone sull’intermediario l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni, l’assenza di malfunzionamenti e l’eventuale frode, dolo o colpa grave dell’utente.

Sotto il primo profilo, l’intermediario ha prodotto log informatici e tracciature da cui risulta che le operazioni sono state disposte con le credenziali della carta del ricorrente tramite commercio elettronico. Il Collegio ritiene pertanto assolto l’onere probatorio sull’autenticazione e il sistema di pagamento conforme alla SCA, per l’impiego congiunto del fattore biometrico e della notifica PUSH sul device del cliente.

Quanto alla colpa grave, il Collegio richiama il principio del Collegio di Coordinamento n. 22745 del 10 ottobre 2019: la regolarità formale dell’autenticazione non basta, occorrendo che l’intermediario indichi gli elementi di fatto dai quali trarre per presunzione la colpa grave dell’utente. Richiama inoltre il Collegio di Coordinamento n. 24366/19, secondo cui non ogni contegno imprudente integra la colpa grave, ma solo quello abnorme e inescusabile, valutato secondo le circostanze e dimostrabile con presunzioni ai sensi dell’art. 2729 c.c.

Nel caso concreto il Collegio rileva che le operazioni sono scaturite da un fenomeno di phishing attuato tramite un canale del tutto estraneo all’intermediario. Il ricorrente ha inserito le proprie credenziali accedendo a un link truffaldino e ha così permesso la realizzazione della truffa, senza impiegare il livello di diligenza media sufficiente a scongiurare il pericolo. Non sussiste alcun presupposto di responsabilità concorrente dell’intermediario. Il ricorso è quindi non accolto.