Phishing e operazioni non autorizzate: SCA e colpa grave del cliente (ABF Collegio di Milano n. 2691 del 25.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che agisca per l’esonero da responsabilità deve anzitutto provare, ai sensi dell’art. 10 del d.lgs. n. 11/2010, che l’operazione è stata autenticata, correttamente registrata e contabilizzata. La prova dell’autenticazione forte costituisce un prius logico rispetto alla prova della colpa grave dell’utente: il difetto, anche parziale, di tale prova è risolutivo e impone il rimborso, restando irrilevante ogni valutazione sul contegno del titolare. Ove invece la SCA sia dimostrata, la condotta del cliente che dia seguito a una e-mail di phishing e comunichi le proprie credenziali configura colpa grave, non essendo sufficiente l’impiego di una media diligenza a impedire la truffa.

Il Fatto

La ricorrente riferisce di aver ricevuto un’e-mail proveniente da un indirizzo apparentemente riconducibile all’intermediario, con la richiesta di modificare la password di accesso al home banking. Dopo aver cliccato sul link e seguito le indicazioni, riceveva SMS e una chiamata da un soggetto qualificatosi come operatore dell’intermediario. Nei giorni seguenti venivano effettuate dieci operazioni non autorizzate per complessivi € 5.909,06.

Presentati due reclami e ottenuto solo un rimborso parziale di € 105,18, la cliente adiva l’Arbitro chiedendo la restituzione del residuo, quantificato in via definitiva in € 5.803,88. L’intermediario eccepiva la corretta autenticazione a due fattori delle operazioni e la colpa grave della cliente, invocando il rigetto del ricorso.

La motivazione del Collegio

Il Collegio inquadra la controversia nel disconoscimento di sei operazioni effettuate tra il 22 e il 24 marzo 2024: cinque pagamenti online e una ricarica telefonica. Richiama quindi la sequenza dell’onere probatorio delineata dall’art. 10 del d.lgs. n. 11/2010: dapprima il prestatore deve dimostrare l’autenticazione, la registrazione e la contabilizzazione dell’operazione e l’assenza di malfunzionamenti; solo superato questo primo gradino può invocare, ai fini dell’esonero, l’uso indebito riconducibile al comportamento fraudolento o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7 del medesimo decreto.

Sul piano istruttorio, per la prima operazione da € 1.770,00 l’intermediario non ha prodotto i LOG da cui ricavare la regolare autenticazione. Il Collegio ne deduce il difetto della prova di SCA e dispone il rimborso, precisando che la mancanza di prova dell’autenticazione è dirimente e precede ogni valutazione sulla colpa del cliente.

Quanto alla ricarica e alle quattro operazioni di pagamento online, i log attestano il doppio fattore: il fattore di conoscenza, dato dall’utilizzo del codice personale, e quello di possesso, rappresentato dall’accesso all’APP e dalle notifiche push. Tali evidenze, ad avviso del Collegio, soddisfano l’onere probatorio della SCA, contrariamente a quanto sostenuto dalla ricorrente circa una pretesa inadeguatezza della documentazione.

Superato il primo gradino, il Collegio esamina la colpa grave. Osserva che la cliente è stata vittima di phishing, truffa attuata mediante richiesta via e-mail di inserire i dati personali su un sito clone. Secondo l’orientamento dei Collegi, richiamato nel provvedimento, l’impiego di una media diligenza è sufficiente a impedire la truffa, cosicché il comportamento di chi dia seguito a tali richieste configura senz’altro colpa grave. Né la chiamata successiva risulta riconducibile all’intermediario, provenendo da un numero non riferibile allo stesso, e gli SMS allegati nulla provano, anche per l’assenza di data.

Il Collegio accoglie dunque parzialmente il ricorso e dispone il pagamento di € 1.770,00, oltre al contributo di € 200,00 in favore della Banca d’Italia e al rimborso di € 20,00 per la presentazione del ricorso.