Phishing e autenticazione forte: il CVV non è fattore di conoscenza valido (ABF Collegio di Milano n. 4462 del 18.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza disconosciute, l’autenticazione forte del cliente costituisce un prius logico rispetto a ogni valutazione sulla colpa grave dell’utente. L’inserimento dei dati statici della carta, incluso il codice CVV, unitamente al codice OTP ricevuto via SMS, non integra una procedura di Strong Customer Authentication, poiché i dati stampati sulla carta non appartengono né alla categoria della conoscenza né a quella del possesso. In difetto di piena prova sull’autenticazione, per ciascuna fase dell’operazione, l’onere della quale grava sull’intermediario, la domanda di rimborso deve essere accolta, senza che rilevi l’eventuale imprudenza del cliente. Non è tuttavia configurabile una responsabilità oggettiva del prestatore di servizi di pagamento.

Il Fatto

La ricorrente aveva effettuato una prenotazione di un alloggio su una nota piattaforma online. Il 20.12.2025 riceveva un messaggio WhatsApp da un account business recante il logo ufficiale della piattaforma, con il quale le si chiedeva di confermare la carta inserita in fase di prenotazione. Il messaggio conteneva il suo nome utente, il numero di telefono e gli estremi della prenotazione.

Cliccando sul link, la cliente visualizzava la prenotazione con i dati corretti e inseriva i dati della carta, convinta di confermare il metodo di pagamento. Poco dopo riceveva la notifica di due addebiti di € 189,00 ciascuno, per un totale di € 378,00. Bloccava la carta, disconosceva le operazioni e presentava denuncia. L’intermediario eccepiva che la stessa ricorrente aveva dichiarato di aver inserito personalmente i dati e che le operazioni erano state correttamente autenticate, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla qualificazione della condotta della ricorrente. Le dichiarazioni contenute nella denuncia hanno valore confessorio ai sensi dell’art. 2730 c.c., ma ciò non esaurisce la questione: l’operazione concretamente disposta non coincide con quella che la cliente intendeva compiere. Diventa quindi necessario accertare la sussistenza della SCA, ai sensi del D.Lgs. n. 11/2010, come modificato dal D.Lgs. n. 218/2017 di attuazione della direttiva PSD2.

Il Collegio richiama l’orientamento consolidato: se il concorso causale dell’utente in fase dispositiva è solo parziale, la transazione non può dirsi autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta. La prova di autenticazione grava sull’intermediario ed è condizione preliminare rispetto alla valutazione della colpa grave del cliente ex art. 12 D.Lgs. n. 11/2010. Solo quando risulti pacifico che le operazioni siano state compiute interamente dal cliente, con tutti i fattori di autenticazione, l’intermediario è esonerato da tale prova.

La SCA richiede almeno due dei tre fattori — conoscenza, possesso, inerenza — reciprocamente indipendenti e appartenenti a categorie diverse. Nel caso concreto l’intermediario ha dimostrato l’invio di un codice OTP al cellulare certificato della cliente e l’inserimento del CVV in modalità 3DS, senza digitazione del PIN. Richiamando la propria pronuncia n. 22660/2021, il Collegio osserva che i dati statici della carta, CVV compreso, non costituiscono fattore di conoscenza o di possesso e non sono quindi utili ai fini dell’autenticazione forte, come chiarito dall’EBA nella propria Opinion. L’autenticazione fondata sui dati statici incautamente forniti al truffatore non può essere considerata procedura sicura in mancanza di ulteriori elementi dinamici.

I log “tracciati della banca” prodotti dall’intermediario non offrono alcun contributo, perché privi di descrizione e di elementi che consentano di individuare con certezza le righe corrispondenti alle operazioni contestate. In difetto di piena prova sull’autenticazione, il ricorso è accolto integralmente: la mancanza anche parziale di tale prova è risolutiva e assorbente rispetto a ogni profilo di colpa del cliente. Il Collegio dispone pertanto il pagamento di € 378,00, oltre al rimborso di € 20,00 e al contributo di € 200,00 in favore della Banca d’Italia.