Phishing pacco: SCA provata e colpa grave del cliente escludono rimborso (ABF Collegio di Milano n. 4635 del 22.05.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di carta di pagamento, l’intermediario deve provare l’autenticazione forte dell’operazione, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti. Provata la strong customer authentication mediante device, quale fattore di possesso, e biometria, quale fattore di inerenza, l’onere si sposta sulla dimostrazione della colpa grave dell’utente, unica condizione, insieme al dolo, che consente di addossargli le conseguenze dell’uso fraudolento ai sensi dell’art. 12 del D.lgs. n. 11/2010. Il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo la transazione autorizzata, poiché il consenso deve essere prestato nella forma convenuta. La negligenza del cliente assume rilievo solo dopo che l’intermediario ha assolto il proprio onere probatorio.

Il Fatto

La parte ricorrente riferisce che in data 16.01.2025 la figlia riceveva un SMS che invitava a cliccare su un link per sbloccare la consegna di un pacco sospesa. Essendo realmente in attesa di una spedizione, la ricorrente riceveva l’inoltro del messaggio e inseriva i dati della carta per il pagamento delle spese di consegna, dapprima con un tentativo non andato a buon fine e poi con una seconda autorizzazione.

Poco dopo giungeva un SMS dell’intermediario che segnalava l’assenza di saldo; dall’home banking la ricorrente constatava un pagamento e disconosceva subito l’operazione, chiedendo il rimborso. L’intermediario eccepiva che la ricorrente aveva ammesso, nella denuncia e nel modulo di disconoscimento, di aver eseguito personalmente la transazione, e chiedeva il rigetto del ricorso anche in via subordinata, con eventuale ripartizione proporzionale e applicazione della franchigia di legge.

La motivazione del Collegio

Il Collegio muove dalla disciplina dei servizi di pagamento, richiamando il D.lgs. 27.01.2010 n. 11 e il Provvedimento attuativo della Banca d’Italia del 05.07.2011, e ricostruisce la ripartizione dell’onere probatorio: spetta all’intermediario provare autenticazione, registrazione e contabilizzazione dell’operazione, mentre la colpa grave o il dolo dell’utente devono essere parimenti dimostrati dall’intermediario.

Il Collegio rileva che la ricorrente, nella denuncia, ha ammesso di aver autorizzato un’ipotetica operazione di € 0,25 cliccando sul link dell’SMS civetta e inserendo i dati della carta, ma che l’operazione è stata solo parzialmente eseguita dalla stessa. Richiamando l’orientamento arbitrale, secondo cui il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo la transazione autorizzata (Collegio di Milano, decisioni n. 8778/2025 e n. 8764/2025), il Collegio passa a verificare la prova dell’autenticazione forte.

Dalle evidenze prodotte risulta che l’operazione è stata correttamente autenticata tramite device, quale elemento di possesso, e tramite biometria, quale elemento di inerenza: la SCA è dunque provata. Il Collegio procede quindi a valutare la colpa grave della ricorrente e l’eventuale concorso di colpa dell’intermediario.

Quanto alla condotta dell’utente, il Collegio osserva che il numero e la denominazione del mittente dell’SMS non erano riferibili né all’intermediario né al corriere, che mancavano messaggi genuini nella chat e che il link conteneva un riferimento a un intermediario terzo. La ricorrente ha prodotto le schermate successive all’apertura del link, recanti termini scorretti ed errori grafici e una palese non riconducibilità del sito a quello dell’intermediario. Lo schermo ridotto del dispositivo non è stato ritenuto giustificazione sufficiente.

Il Collegio dà atto che la carta è stata bloccata alle ore 11:42 del 16.01.2025, a frode consumata, e che l’SMS alert è stato inviato all’utenza indicata nel modulo di ricorso. Ritenuta provata la SCA e sussistente la colpa grave della parte ricorrente, il Collegio non accoglie il ricorso. Resta ferma la valutazione sull’eventuale condotta fraudolenta o sull’inadempimento degli obblighi per dolo o colpa grave.