Phishing con autorizzazione biometrica del cliente: ricorso respinto per colpa grave (ABF Collegio di Milano n. 1705 del 25.02.2026)

Principi di diritto (Massima)
In tema di operazioni con carta di pagamento disconosciute, il regime di protezione del d.lgs. n. 11/2010 e della PSD2 non opera automaticamente quando il titolare abbia prestato, con il proprio fattore biometrico, l’autorizzazione a operazioni materialmente predisposte da un terzo. Se l’intermediario prova l’avvenuta autenticazione forte del cliente (notifica push sul device certificato e impronta digitale) e il sistema è conforme alla SCA, l’onere di allegare e documentare la frode o l’anomalia grava sul ricorrente. La sua condotta, che ometta di fornire riscontri sulla chiamata e sugli sms e ignori il quadro di sospetto, integra colpa grave e giustifica il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente riferisce di aver ricevuto, il 29 settembre 2025, una telefonata apparentemente proveniente dal servizio clienti della propria banca, nel corso della quale un sedicente operatore, conoscendo i dati della carta, lo induceva a confermare tramite l’app dell’intermediario lo storno di presunte operazioni anomale. Il truffatore gli comunicava anche un codice pratica e lo rassicurava sul blocco della carta e sull’invio di una nuova.

Solo dopo la chiamata il cliente verificava che la carta non era stata bloccata e che erano state eseguite tre operazioni, per complessivi euro 1.484,88. Chiedeva quindi il disconoscimento e il rimborso. L’intermediario eccepiva l’inammissibilità, sostenendo che la denuncia conteneva una dichiarazione di natura confessoria e che il sistema di alert era attivo; nel merito, invocava la colpa grave del cliente per aver ignorato gli sms e chiedeva, in via subordinata, la ripartizione proporzionale con franchigia.

La motivazione del Collegio

Il Collegio di Milano ricostruisce il quadro normativo applicabile ratione temporis: il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE. Richiama poi la disciplina della strong customer authentication, rinvenibile negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi EBA, e ne illustra i tre fattori: conoscenza, inerenza e possesso.

La questione centrale è se le operazioni siano state effettivamente autorizzate dal titolare. L’intermediario sosteneva che il cliente avesse eseguito personalmente le transazioni; il Collegio osserva invece che, dalle dichiarazioni rese, egli si è limitato ad autorizzare con l’app operazioni i cui dati erano stati materialmente predisposti dal truffatore. Il cliente ha inserito il fattore biometrico (FINGERPRINT_FACEID) a seguito di una notifica push.

Richiamando l’orientamento dei Collegi, la decisione ricorda che il regime speciale prescinde dalla nozione civilistica di consenso e che, in caso di concorso causale parziale dell’utente, la transazione non è per ciò solo autorizzata: occorre verificare la prova di autenticazione. Nel caso concreto, le tre operazioni risultano correttamente autorizzate ed autenticate tramite notifica push sul device (possesso) e fattore biometrico (inerenza).

Passando alla condotta delle parti, il Collegio rileva che il ricorrente non produce alcuna evidenza sulle chiamate ricevute, né sugli sms di conferma dello storno, limitandosi a indicare un numero privato. Non è quindi possibile stabilire se le chiamate fossero riconducibili alla banca, peraltro non convenuta, né qualificare la fattispecie come ID caller spoofing. Il riferimento alla frode resta non circostanziato e non documentato, senza elementi da cui accertare una truffa particolarmente sofisticata.

L’intermediario ha invece offerto la prova dell’autenticazione, il sistema di pagamento risulta conforme alla SCA e non emergono indici di anomalia delle operazioni, secondo il richiamo a ABF-Coll. Milano n. 2863 del 4 febbraio 2021. Il comportamento del ricorrente integra pertanto una condotta gravemente colposa: il ricorso non è accolto.