Smishing e autenticazione forte: la colpa grave del cliente esonera l’intermediario (ABF Collegio di Milano n. 4940 del 03.06.2026)

Principi di diritto (Massima)
Nel giudizio di responsabilità per operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento che provi l’avvenuta autenticazione forte del cliente, la corretta registrazione e contabilizzazione dell’operazione non è ancora esonerato: deve dimostrare che l’uso indebito del dispositivo è riconducibile a dolo o colpa grave dell’utilizzatore. La colpa grave sussiste quando la frode si realizza mediante un smishing riconoscibile con la normale avvedutezza e prudenza, e l’utente inserisca volontariamente le credenziali su indicazione del truffatore. In tal caso il ricorso è rigettato, anche perché la mancata allegazione del messaggio civetta non consente di verificare l’affidamento del cliente sulla genuinità delle comunicazioni ricevute.

Il Fatto

Il cliente riferisce di aver ricevuto, in data 24 maggio 2024, un SMS apparentemente proveniente dall’intermediario, che lo informava della disattivazione del numero di telefono certificato e dell’attivazione di un numero a lui sconosciuto. Nei giorni successivi soggetti terzi, con una condotta qualificata come smishing sofisticato, disponevano tre operazioni fraudolente per complessivi € 17.806,06. L’intermediario bloccava il conto, riaccreditava l’importo e successivamente lo riaddebitava dopo le verifiche, sostenendo che le operazioni erano state correttamente autenticate e contabilizzate.

Il cliente disconosceva le operazioni e presentava reclamo, riscontrato negativamente, quindi ricorreva all’ABF chiedendo la restituzione della somma. L’intermediario eccepiva in via preliminare l’inammissibilità del ricorso per mancato rispetto dei termini decorrenti dal reclamo e, nel merito, chiedeva il rigetto per la colpa grave del cliente.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione preliminare e la ritiene infondata. Richiamata la Sezione VI delle Disposizioni Banca d’Italia del 18 giugno 2009, il Collegio osserva che l’intermediario ha atteso quattordici giorni prima di inviare una risposta interlocutoria con cui rilevava la mancanza della procura, senza invocare il prolungamento del termine a trentacinque giorni. Il dies a quo va quindi individuato nel 14 ottobre 2025, data del reclamo, con la conseguenza che il termine di quindici giorni risulta rispettato e il ricorso è ammissibile.

Nel merito, le operazioni ricadono nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD 2. Ai sensi dell’art. 10, comma 1, il prestatore deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ma tale prova è necessaria e non sufficiente: ai fini dell’esonero ex art. 10, comma 2, occorre dimostrare che l’uso indebito è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore. Il Collegio richiama la decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio.

Dai log emerge che l’accesso all’home banking e le operazioni sono state accompagnate da autenticazione forte del cliente, con fattore di conoscenza (credenziali e codice PIN) e fattore di possesso (numero di telefono associato all’utenza), anche nella fase di modifica dell’utenza telefonica. Il Collegio ritiene pertanto provata la corretta autenticazione delle operazioni contestate.

Quanto alla colpa, il Collegio la qualifica come grave: il cliente è caduto in un banale smishing, riconoscibile con media diligenza, inserendo volontariamente le proprie credenziali su indicazione del truffatore. Le modalità della frode rientrano tra quelle più diffuse e conosciute, che un fruitore di servizi on line dotato di normale prudenza deve saper riconoscere ed evitare, secondo l’insegnamento del Collegio di Coordinamento n. 3498 del 26/10/2012. A rafforzare tale giudizio concorre la mancata allegazione del messaggio civetta, che non consente di verificare se il mittente fosse riconducibile all’intermediario.

Il Collegio esclude infine profili ulteriori di responsabilità dell’intermediario sul versante degli obblighi di protezione, rilevando che la mancata attivazione di un servizio di alert è in concreto ininfluente, poiché i truffatori avevano già modificato l’utenza telefonica del cliente. Il ricorso è pertanto rigettato.