SCA incompleta e prova della colpa grave del cliente nell’operazione disconosciuta (ABF Collegio di Milano n. 8129 del 09.09.2026)

Principi di diritto (Massima)
Nel regime del D. lgs. n. 11/2010, come modificato dal D. lgs. n. 218/2017 di recepimento della PSD2, l’onere di provare il corretto svolgimento dell’autenticazione forte del cliente in tutte le fasi dell’operazione grava sul prestatore di servizi di pagamento. La mancanza anche parziale di tale prova è risolutiva e costituisce un prius logico rispetto alla valutazione della colpa grave dell’utilizzatore. Il concorso causale parziale del cliente in fase dispositiva o autorizzativa non vale, per ciò solo, a qualificare l’operazione come autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. Ove il prestatore non dimostri il rispetto dei presidi di sicurezza sin dalla fase di accesso al sistema, il diritto alla ripetizione del controvalore dell’operazione disconosciuta deve essere riconosciuto, con interessi al tasso legale dalla data del reclamo.

Il Fatto

Il ricorrente, insoddisfatto dell’esito del reclamo, adisce l’Arbitro deducendo di essere stato contattato, dopo un attacco hacker subito nei giorni precedenti, da un numero non riconducibile all’utenza ufficiale dell’intermediario. I truffatori conoscevano il suo luogo di lavoro, il nome del titolare e il recente cambio del numero di telefono, circostanza che aveva alimentato un falso senso di sicurezza. Dal controllo dell’estratto conto online il cliente rileva l’esecuzione di un bonifico istantaneo di € 650,00 verso un conto estero.

Il ricorrente ammette di aver confermato l’operazione tramite notifica push, ma sostiene la responsabilità dell’intermediario per l’inadeguatezza del sistema di sicurezza rispetto a tecniche di vishing e social engineering. Chiede il rimborso dell’importo oltre interessi legali. L’intermediario eccepisce la corretta esecuzione della procedura di autenticazione forte e la colpa grave del cliente, che avrebbe seguito le istruzioni di ignoti malfattori nonostante le campagne informative antifrode.

La Motivazione della Corte

Il Collegio ricostruisce la disciplina applicabile: il D. lgs. n. 11/2010, come modificato dal D. lgs. n. 218/2017, impone ai prestatori di servizi di pagamento di predisporre sistemi di sicurezza idonei a impedire l’accesso di terzi ai dispositivi degli utilizzatori, secondo il modello della Strong Customer Authentication. La SCA richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso, ed è richiesta tanto nell’accesso al conto quanto nella disposizione dell’operazione.

La normativa speciale distribuisce gli oneri probatori in modo differenziato rispetto al disconoscimento dell’operazione, con l’obiettivo di attribuire la responsabilità degli utilizzi fraudolenti all’impresa, salvo che essi siano cagionati da frode, dolo o colpa grave del cliente. Tale criterio presuppone sul piano fattuale che l’utilizzo non autorizzato derivi da furto, smarrimento o illecito utilizzo dei codici dispositivi da parte di terzi frodatori.

Nel caso concreto l’operazione risulta eseguita personalmente dal ricorrente, che ha ammesso la conferma della notifica push. Il Collegio richiama l’orientamento uniforme dei Collegi: se il concorso causale dell’utente in fase dispositiva o autorizzativa è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale non coincide con la nozione civilistica di consenso. Ove invece l’operazione sia stata preparata dal truffatore con i codici del cliente, essa non può ritenersi eseguita per intero dal pagatore.

Dall’esame delle tracciature informatiche emerge un quadro probatorio incompleto: per l’elemento di conoscenza i log non riportano la parola “password”, limitandosi alla dicitura di validazione delle credenziali; per la conferma push non è specificato quale fattore biometrico sia stato utilizzato. Il Collegio richiama sul punto le proprie precedenti decisioni in materia di insufficienza dei log.

La mancanza anche parziale della prova del rispetto dei presidi di sicurezza in tutte le fasi, a partire dall’accesso al sistema, è risolutiva e dirimente: essa costituisce un prius logico rispetto alla valutazione della colpa grave dell’utente. Il ricorso è pertanto parzialmente accolto, con riconoscimento del diritto alla ripetizione di € 650,00 e interessi al tasso legale dal reclamo.