Phishing e autorizzazione via APP: prova SCA e colpa grave del cliente (ABF Collegio di Milano n. 4690 del 26.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza disconosciute, la prova dell’autenticazione forte (SCA) è a carico dell’intermediario e costituisce un prius logico rispetto a ogni ulteriore accertamento, compresa la valutazione della colpa grave del cliente. Ove l’operazione non risulti compiuta direttamente e interamente dal cliente, il prestatore di servizi di pagamento deve dimostrare l’autenticazione per ciascuna fase dell’operazione; a tal fine possono essere valutati, oltre ai log, anche la legenda e le spiegazioni fornite dal PSP, purché consentano di ricostruire i singoli passaggi registrati dal sistema. Raggiunta la prova della SCA, resta ferma la possibilità di valutare la condotta del cliente ai sensi dell’art. 12 D. Lgs. 11/2010: la condotta del titolare che autorizzi l’operazione per distrazione integra colpa grave ed esclude il diritto alla restituzione.

Il Fatto

Il ricorrente deduce di essere stato vittima di un episodio di phishing: un messaggio, apparentemente inviato da una società autostradale, gli richiedeva il pagamento di € 6,50 per un presunto pedaggio non corrisposto. Accedendo al sito indicato per eseguire il pagamento, il cliente riceveva sull’APP di home banking una richiesta di autorizzazione per un importo di € 776,35, che approvava nella distrazione del momento.

Informato dell’accaduto, l’intermediario non avrebbe adottato misure idonee a bloccare l’operazione. Il ricorrente ha quindi invocato la restituzione delle somme addebitate, lamentando l’assenza di presidi di sicurezza adeguati e la mancata dimostrazione della propria colpa grave. L’intermediario ha resistito, eccependo l’avvenuta autenticazione dell’operazione mediante device certificato e fattore biometrico, oltre alla colpa grave del cliente.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile ratione temporis, individuato nel D. Lgs. n. 11/2010 come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD2. Richiamando l’orientamento consolidato dei Collegi, si afferma che, se il concorso causale dell’utente in fase dispositiva o autorizzativa è solo parziale, la transazione non può intendersi per ciò solo autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. La prova dell’autenticazione costituisce pertanto un prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa grave.

La SCA si realizza mediante almeno due dei tre fattori di conoscenza, possesso e inerenza, reciprocamente indipendenti e appartenenti a categorie diverse. Il Collegio precisa che la PSD2 è tecnologicamente neutrale e non impone un sistema standard di tracciatura: ai fini dell’assolvimento dell’onere probatorio possono quindi valutarsi, oltre ai log, anche la legenda e le spiegazioni del PSP, purché consentano di verificare i singoli passaggi. Alle eventuali dichiarazioni confessorie del cliente può inoltre riconoscersi valore di prova legale ai sensi dell’art. 2730 c.c.

Nel caso concreto, le evidenze documentali dimostrano che l’APP era stata installata sul device del titolare mediante OTP-SMS e password, senza alcun enrollment su device di terzi, e che l’operazione contestata è stata autenticata tramite il medesimo device e il fattore biometrico. Il Collegio ritiene pertanto raggiunta la prova della SCA a carico dell’intermediario.

Passando alla condotta delle parti, il Collegio rileva che il cliente non ha prodotto il messaggio truffaldino né ha indicato il canale di ricezione, non essendo quindi possibile qualificare la fattispecie come phishing o smishing. L’intermediario ha inoltre documentato il blocco della carta alle ore 13:34 del 23/11/2025. Quanto agli alert, il Collegio ne ritiene superfluo l’accertamento, trattandosi di un’unica operazione rispetto alla quale la notifica non avrebbe potuto limitare il pregiudizio. Non emergono infine indici di anomalia ex D.M. 112/2007.

Ne consegue il rigetto del ricorso: nessuna responsabilità è addebitabile all’intermediario, a fronte della grave negligenza del cliente che ha autorizzato il pagamento per distrazione.