Phishing e colpa grave dell’utente: la SCA esonera la banca dal rimborso (ABF Collegio di Milano n. 8282 del 14.09.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dall’utente, il prestatore di servizi di pagamento assolve l’onere probatorio previsto dall’art. 10, comma 1, d.lgs. n. 11/2010 quando dimostra che l’operazione è stata autenticata mediante autenticazione forte del cliente a due fattori, correttamente registrata e contabilizzata, e che il sistema è conforme ai requisiti della SCA. Ove l’intermediario fornisca tale prova e non emergano indici di anomalia dell’operazione, la mancata allegazione da parte del ricorrente delle circostanze di fatto della frode costituisce elemento dal quale il Collegio può desumere, in via presuntiva, la colpa grave dell’utente. La prova della frode, del dolo o della colpa grave resta a carico dell’intermediario ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010, ma può essere raggiunta anche attraverso il contegno processuale della controparte.

Il Fatto

La ricorrente disconosce l’addebito di un bonifico online di € 2.400,00 verso un conto estero, disposto il 21 dicembre 2025 tramite accesso all’App di internet banking sul proprio device certificato. La cliente qualifica l’operazione come frutto di frode informatica riconducibile al fenomeno del phishing e chiede il rimborso, imputando alla banca di non avere impedito l’intrusione nel sistema informatico.

L’intermediario resiste, sostenendo la regolare esecuzione del bonifico a seguito del corretto inserimento delle credenziali nell’ambito del sistema di autenticazione forte (SCA). Evidenzia il mancato assolvimento dell’onere probatorio a carico della cliente sulla dinamica della truffa e riferisce di avere esperito senza esito un tentativo di recall del bonifico.

La Motivazione della Corte

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis, individuando nel d.lgs. n. 11/2010, come novellato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366, la fonte della disciplina. La responsabilità va valutata su due profili distinti dell’onere probatorio: l’accertamento della regolare autenticazione ed esecuzione dell’operazione e l’accertamento dell’eventuale colpa grave dell’utilizzatore.

Sul primo profilo, il Collegio richiama l’art. 8, comma 1, lett. a), d.lgs. n. 11/2010, che impone al prestatore di assicurare l’inaccessibilità delle credenziali di sicurezza a soggetti diversi dall’utente abilitato, e l’art. 10, comma 1, che pone a carico dell’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione. Richiama altresì l’art. 10 bis, comma 1, sull’obbligo di autenticazione forte e la definizione dell’art. 1, comma 1, lett. q-bis), che la articola nei fattori della conoscenza, del possesso e dell’inerenza.

Nel caso concreto, i file di log dimostrano che sia l’accesso all’area riservata sia la disposizione del bonifico sono avvenuti previo inserimento di userid e codice PIN e di un codice monouso OTP generato in App tramite mobile token sul device certificato. Il sistema è pertanto conforme ai criteri della SCA: in assenza di indici di anomalia, l’intermediario ha assolto l’onere ex art. 8 d.lgs. n. 11/2010.

Quanto al secondo profilo, il Collegio aderisce all’insegnamento del Collegio di Coordinamento (Decisione n. 22745/2019): la prova documentale dell’autenticazione non basta, occorrendo elementi di fatto sulle modalità esecutive da cui trarre in via presuntiva la colpa grave. Tuttavia, il Collegio può affermarne l’accertamento quando essa emerge palesemente dalle dichiarazioni del ricorrente. Richiamata la nozione di colpa grave elaborata dalla Cass. civ. n. 14456 del 2001, i giudici rilevano che la cliente si limita a disconoscere genericamente l’operazione, senza allegare circostanze utili a chiarire la dinamica della truffa.

In presenza di autenticazione SCA provata, assenza di indici di anomalia e mancate allegazioni della ricorrente, il Collegio desume la colpa grave dell’utente e non accoglie il ricorso.