Phishing e autorizzazione della notifica push integrano la colpa grave dell’utilizzatore (ABF Collegio di Milano n. 1425 del 18.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite a valle di una truffa online, l’intermediario che provi l’autenticazione forte del cliente, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti è esonerato da responsabilità quando dimostri il comportamento gravemente colposo dell’utilizzatore rispetto agli obblighi di cui all’art. 7 d.lgs. n. 11/2010. La produzione documentale sulla regolarità formale dell’operazione non esaurisce l’onere probatorio, ma la colpa grave può trarsi da elementi di fatto che rivelino uno schema fraudolento tipico e riconoscibile con la media diligenza. L’aver convalidato una notifica push in-app di autorizzazione, all’esito di un dialogo con un sedicente acquirente su un sito clone, integra tale colpa.

Il Fatto

Il ricorrente pubblicava un annuncio su una piattaforma di vendita online. Un sedicente acquirente lo invitava a cliccare su un link apparentemente riconducibile alla piattaforma per ricevere il corrispettivo. Il link conduceva a un sito clone con una finta chat di supporto, nella quale gli veniva chiesto di fornire i dati bancari per una presunta verifica di identità.

Attraverso il sistema di pagamento l’importo di circa € 3.500,00 veniva prelevato dal conto. Il reclamo all’intermediario era riscontrato negativamente. Il ricorrente chiedeva la restituzione, sostenendo di non aver prestato alcun consenso consapevole e di non essere in colpa grave. L’intermediario eccepiva l’avvenuta autenticazione tramite Strong Customer Authentication e la condotta gravemente negligente del cliente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2. L’art. 10, comma 1 pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Tale prova è necessaria ma non sufficiente: ai fini dell’esonero occorre dimostrare, ex art. 10, comma 2, che l’uso indebito è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Richiamata la decisione n. 22745/2019 del Collegio di Coordinamento, il Collegio ribadisce che la sola prova dell’autenticazione formale non soddisfa l’onere, dovendo l’intermediario indicare elementi di fatto dai quali desumere in via presuntiva la colpa grave. Considera poi l’art. 12 del medesimo decreto, che esclude la perdita per il pagatore — salvo frode — quando non sia richiesta l’autenticazione forte, e la definizione di autenticazione forte del cliente come combinazione di due o più fattori indipendenti tra conoscenza, possesso e inerenza.

Nel caso concreto, l’intermediario prova l’autenticazione: login con password (fattore di conoscenza) nell’app di home banking installata sul dispositivo personale associato in via esclusiva al conto (fattore di possesso), mediante protocollo 3D Secure con convalida della notifica push in-app. Il ricorrente stesso ammette di aver autorizzato la notifica, credendola di verifica.

Il Collegio ritiene parimenti provata la colpa grave. La truffa riproduce uno schema di phishing noto e diffuso: richiesta via messaggio di inserire dati personali su un sito clone, chat non riconducibile all’intermediario, beneficiario che richiamava una piattaforma di scambio di criptovalute. Il ricorrente è vittima di colpevole credulità, non avvedendosi di modalità che qualunque fruitore di servizi online, con normale avvedutezza, sarebbe stato in grado di riconoscere (Collegio di Coordinamento n. 3498/2012).

Il Collegio esclude altri profili di responsabilità dell’intermediario sul versante degli obblighi di protezione. Il riaccredito momentaneo seguito dal trasferimento dei fondi e dal successivo riaddebito è conforme all’art. 11, commi 1 e 3, e lo scoperto che ne è derivato non è imputabile all’intermediario. Il ricorso è non accolto.