Prelievi cardless fraudolenti: colpa grave del delegato che ignora gli alert di sicurezza (ABF Collegio di Milano n. 606 del 23.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, una volta che l’intermediario abbia fornito la prova dell’autenticazione forte delle operazioni, su di esso non grava alcun ulteriore onere di verifica dell’ordine ricevuto, ma spetta al cliente dimostrare la propria assenza di dolo o colpa grave. Integra la colpa grave di cui all’art. 10, comma 2, del D.Lgs. n. 11/2010 la condotta del titolare o del delegato che, dopo aver ricevuto una notifica dell’enrollment di un nuovo dispositivo con invito a contattare la banca, autorizzi due prelievi di importo significativo mediante i codici OTS, senza verificare il mittente di un SMS sospetto e senza rilevare gli elementi oggettivi di inattendibilità del messaggio. La mancata attivazione del servizio di sms-alert è irrilevante quando le operazioni sono eseguite a distanza di pochi minuti, tempo incompatibile con un utile intervento del cliente.

Il Fatto

Il ricorrente, titolare di un conto corrente e di una carta di debito presso l’intermediario, riferisce di aver ricevuto un SMS apparentemente proveniente dalla banca, inserito in una chat del mittente, con cui veniva avvisato di accessi anomali al conto. Poco dopo scopriva la sottrazione di € 3.000,00, mediante due prelievi cardless di € 2.000,00 e € 1.000,00. Sporta denuncia ai Carabinieri e disconosciute formalmente le operazioni, il cliente domanda il rimborso, escludendo il proprio dolo o colpa grave e invocando la responsabilità dell’istituto per la mancata verifica della legittima provenienza dell’ordine.

L’intermediario eccepisce che il conto è cointestato e che sul rapporto è delegato ad operare il padre del ricorrente. Tramite l’home banking del delegato sarebbero state disposte le due operazioni, autenticate con PIN e codici OTS inviati al numero certificato. Il delegato sarebbe stato vittima di una truffa di smishing/vishing resa possibile da una condotta gravemente negligente: l’SMS civetta presentava un’intestazione diversa dal canale ufficiale e un link non riconducibile alla banca, e il delegato avrebbe ignorato gli alert sull’enrollment di un nuovo dispositivo. L’intermediario chiede il rigetto del ricorso e, in subordine, il riconoscimento della franchigia di € 50,00.

La motivazione del Collegio

Il Collegio inquadra la controversia nel D.Lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. n. 218/17 di attuazione della direttiva PSD II. L’intermediario ha fornito prova dell’autenticazione delle operazioni: il 20 maggio 2020, alle ore 11:09, è stato effettuato l’enrollment di un nuovo dispositivo con credenziali statiche e codice OTS inviato al numero certificato del delegato; una notifica push ha comunicato l’attivazione, con invito a contattare la Filiale Online in caso di operazione non propria. Alle ore 11:14 e 11:17 sono state disposte le due operazioni, ciascuna autorizzata con PIN e codice OTS.

Le operazioni risultano quindi autenticate mediante un elemento di conoscenza e un elemento di possesso, in conformità all’autenticazione forte richiesta dalla normativa. Da ciò il Collegio fa discendere il criterio di riparto dell’onere probatorio: provata l’autenticazione, l’intermediario deve dimostrare la colpa grave del cliente per andare esente da responsabilità.

Il Collegio ritiene che tale colpa grave sussista. L’SMS civetta presentava evidenti elementi di inattendibilità — intestazione della chat diversa dal canale ufficiale, link non riconducibile al dominio della banca, assenza di messaggi genuini — che avrebbero dovuto indurre il delegato a una verifica preventiva del mittente. A ciò si aggiunge che il delegato ha ignorato la notifica push sull’attivazione del nuovo dispositivo e ha autorizzato due operazioni di importo significativo con i codici OTS senza alcuna verifica, nonostante il messaggio sospetto.

Il Collegio esclude poi la rilevanza della mancata attivazione del servizio di sms-alert, richiamando il Collegio di Coordinamento, decisione n. 8672/2024: nelle ipotesi di più operazioni eseguite a breve distanza di tempo la ricezione dell’alert non avrebbe potuto limitare il pregiudizio. Le due operazioni sono state eseguite a soli tre minuti di distanza, tempo incompatibile con un’utile attivazione del cliente per il blocco.

Alla luce della prova dell’autenticazione e della colpa grave così ricostruita, il ricorso non è accolto.