Phishing e colpa grave dell’utente: la SCA esonera l’intermediario dal rimborso (ABF Collegio di Napoli n. 2104 del 10.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza non autorizzate, il prestatore di servizi di pagamento che provi l’avvenuta autenticazione forte del cliente (SCA), la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti è esonerato dall’obbligo di rimborso. Quando l’operazione sia stata perfezionata mediante l’inserimento delle credenziali e del codice OTP inviato all’utenza certificata dell’utente, la prova della frode e della colpa grave dell’utente può desumersi dalla condotta di quest’ultimo che, cadendo nel raggiro, abbia consegnato ai truffatori i propri dati di accesso. L’art. 10, comma 2, d.lgs. n. 11/2010 non impone all’intermediario di dimostrare la diligenza del cliente oltre la prova della regolare autenticazione, gravando sull’utente la dimostrazione contraria.

Il Fatto

Il ricorrente lamenta di avere subito una truffa realizzata mediante l’invio di un SMS, a seguito della quale veniva disposto un trasferimento non autorizzato di euro 750,00 verso un servizio di money transfer. Insoddisfatto dell’esito del reclamo, si rivolge all’Arbitro chiedendo il rimborso della somma sottrattagli.

L’intermediario, costituitosi, esclude la propria responsabilità: l’operazione risulta approvata tramite un sistema di autenticazione forte e senza anomalie, nel rispetto dei requisiti SCA di cui all’art. 10-bis del d.lgs. n. 11/2010. Chiede pertanto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile. L’operazione contestata è stata eseguita sotto il vigore del d.lgs. 27 gennaio 2010 n. 11, come modificato dal d.lgs. 15 dicembre 2017 n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2). Le fonti della strong customer authentication si rinvengono negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nelle norme tecniche EBA recepite con il Regolamento Delegato UE 2018/389, applicabile dal 14 settembre 2019, e nei criteri interpretativi dell’EBA.

Il Collegio richiama poi l’art. 10, comma 1, d.lgs. n. 11/2010: se l’utente nega di avere autorizzato un’operazione già eseguita, è onere del prestatore provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze da malfunzionamenti. Il comma secondo precisa che l’utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione, né che l’utente abbia agito in modo fraudolento o con dolo o colpa grave; è sempre onere del prestatore fornire la prova della frode, del dolo o della colpa grave dell’utente.

Nel caso di specie l’intermediario dimostra di avere implementato procedure di autenticazione forte, articolate in una procedura “primaria” (notifica push in APP e codice identificativo) e in una “secondaria” (One Time Password via SMS e password). Per l’operazione contestata è stata attivata la procedura secondaria, mediante digitazione delle credenziali e successivo inserimento del codice OTP per accedere all’area personale. La tracciatura informatica prodotta documenta l’inserimento della password, elemento di conoscenza, e del codice OTP inviato all’utenza certificata della ricorrente, fattore di possesso. La SCA risulta dunque conforme e regolare.

Il Collegio qualifica quindi la vicenda come phishing tradizionale. Richiamando l’orientamento condiviso dai Collegi ABF, osserva che la diffusione del fenomeno è tale che l’impiego di una media diligenza sarebbe sufficiente a scongiurare il pericolo: la truffa è stata possibile in ragione della colpa grave del cliente che, cadendo nella trama ordita dai truffatori, ha fornito loro le proprie credenziali. Il Collegio aggiunge che, trattandosi di un’unica operazione, l’attivazione del servizio di alert sarebbe stata comunque irrilevante.

Il ricorso è pertanto non accolto.