Phishing e strong customer authentication: il Collegio di Milano rigetta il ricorso (ABF Collegio di Milano n. 2978 del 02.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza disconosciute, l’onere della prova della strong customer authentication (SCA) grava sul prestatore dei servizi di pagamento. Poiché la PSD2 è tecnologicamente neutrale e non impone un sistema standard di tracciatura, il PSP può assolverlo con i log e con ulteriori elementi esplicativi, quali la legenda e i chiarimenti resi nelle difese, purché consentano di verificare i singoli passaggi registrati. Il concorso causale parziale dell’utente in fase autorizzativa non vale, di per sé, a qualificare l’operazione come autorizzata, restando ferma la verifica del dolo o colpa grave del cliente. Accertata la SCA, non è configurabile una responsabilità oggettiva dell’intermediario: occorre verificare in concreto un suo apporto colposo alla frode.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 31.10.2024 un primo SMS, non aperto, che segnalava un accesso anomalo all’app bancaria. Il 04.11.2024 riceveva un secondo messaggio, con invito a cliccare su un link per bloccare l’asserito accesso. Il cliente apriva il link, riconosceva il sito della banca ma si bloccava perché sprovvisto del codice cliente. Seguiva una telefonata di un sedicente addetto alla sicurezza, che dimostrava di conoscere i suoi dati personali e bancari e lo induceva al disconoscimento di un acquisto fraudolento tramite nuovo click sul link. Insospettito dalla richiesta di creare una carta virtuale, il cliente interrompeva la chiamata e, dopo vari tentativi, contattava l’assistenza, apprendendo un prelievo di € 2.375,50 sulla carta di credito. Presentava denuncia e disconoscimento dopo quattro giorni.

Chiedeva la restituzione della somma, € 500,00 per il disagio e € 500,00 per le spese legali. L’intermediario eccepiva la colpa grave del cliente, la correttezza dell’autenticazione 3DS e l’assenza di malfunzionamenti, chiedendo il rigetto.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e nel Regolamento Delegato UE 2018/389. La SCA richiede almeno due dei tre fattori — conoscenza, possesso, inerenza — reciprocamente indipendenti e appartenenti a categorie diverse.

Dalle dichiarazioni del cliente emerge che egli cliccò sul link mentre era al telefono con il sedicente operatore. Ciò induce a ravvisare un concorso causale dell’utente in fase dispositiva o autorizzativa. Il Collegio richiama il consolidato orientamento dei Collegi secondo cui, se il concorso è parziale, la transazione non è per ciò solo autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso; resta ferma la verifica del dolo o colpa grave ai sensi dell’art. 12 d.lgs. n. 11/2010.

Sull’onere probatorio, il Collegio ribadisce che, non risultando sempre esplicito nei log uno dei fattori, possono valutarsi anche la legenda e le spiegazioni del PSP, se idonee a verificare i singoli passaggi; le dichiarazioni confessorie del cliente possono avere valore di prova legale ex art. 2730 c.c. Nel caso concreto, gli allegati prodotti confermano la ricostruzione dell’intermediario: la variazione dei limiti della carta di debito, con doppio fattore, e la successiva operazione sulla carta di credito, autenticata con OTP via SMS, sono legate da un brevissimo intervallo temporale e da collegamento funzionale, sì da rientrare nella stessa sessione. Il Collegio richiama la Q&A 2018_4141 dell’EBA sul riutilizzo di un fattore già impiegato nel login.

Accertata la SCA, il Collegio esclude la responsabilità oggettiva dell’intermediario e verifica in concreto il suo apporto colposo. Non emergono indici di anomalia: il numero chiamante non è riconducibile alla banca, non vi è evidenza dei messaggi, il dominio del link è estero, la mancata attivazione degli alert è irrilevante per una sola operazione, e il cliente non ha contestato il superamento del plafond. Il ricorso è quindi rigettato.