Cliente non monitora operazioni: colpa grave nonostante SCA provata (ABF Collegio di Milano n. 1190 del 10.02.2026)

Principi di diritto (Massima)
Nel contenzioso sulle operazioni di pagamento non autorizzate eseguite con carta di credito, il prestatore di servizi di pagamento assolve l’onere probatorio di cui all’art. 10 del D.Lgs. n. 11/2010 quando dimostra l’autenticazione forte (SCA) mediante log informatici leggibili congiuntamente alla legenda esplicativa, anche a mezzo di elementi confessori del cliente ai sensi dell’art. 2730 c.c.. Accertata la SCA, il rimborso è dovuto solo se l’uso indebito non deriva da colpa grave dell’utilizzatore. Integra colpa grave la condotta del titolare che, dopo aver inserito le credenziali su un portale contraffatto raggiunto tramite smishing, ometta per un periodo prolungato di monitorare i movimenti della carta, pur potendolo fare tramite l’app, consentendo il protrarsi delle operazioni fraudolente.

Il Fatto

Il ricorrente, correntista presso il primo intermediario e titolare di una carta di credito emessa dal secondo, riceveva il 24.07.2024 un SMS apparentemente riconducibile all’emittente e cliccava sul link contenuto nel messaggio, inserendo le proprie credenziali su un portale graficamente identico a quello genuino. Tra il 26.07.2024 e il 22.08.2024 terzi ignoti eseguivano n. 65 operazioni con addebito sulla carta, per complessivi € 2.207,66. L’intermediario emittente rimborsava spontaneamente € 344,83 relativamente a cinque operazioni.

Il cliente disconosceva le operazioni, presentava denuncia e reclamo a entrambi gli intermediari e adiva l’ABF chiedendo la restituzione di € 1.862,83, oltre spese. Il primo intermediario eccepiva il difetto di legittimazione passiva, qualificandosi mero collocatore della carta; il secondo invocava la colpa grave del titolare per la comunicazione delle credenziali e degli OTP e per la segnalazione tardiva.

La motivazione del Collegio

Sul piano processuale, il Collegio richiama l’orientamento dei Collegi territoriali secondo cui, in via generale, il collocatore dello strumento di pagamento è legittimato passivo in ragione del rapporto contrattuale con l’utente. Fa eccezione l’ipotesi del mero collocatore, da accertare sulla documentazione: nel caso concreto il contratto individua espressamente il secondo intermediario quale emittente, gli affida la gestione degli smarrimenti e la ricezione dei reclami, mentre il primo compare solo nel modulo di richiesta. Il ricorso è quindi esaminato nel merito solo nei confronti dell’emittente.

Nel merito, il Collegio ricostruisce il regime probatorio dell’art. 10 del D.Lgs. n. 11/2010: il prestatore deve prima provare che l’operazione è stata autenticata, registrata e contabilizzata; solo dopo deve dimostrare che l’uso indebito è conseguenza di comportamento fraudolento o gravemente colposo dell’utilizzatore. Sul primo profilo, i log prodotti evidenziano l’attività FINALIZE_LOGIN da app, il metodo AUTH_METHOD: OTP (password statica più OTP via SMS), l’esito SCA positivo e l’attivazione della biometria nella medesima sessione, con OTP inviato sull’utenza del cliente. La lettura congiunta di log e legenda consente di ritenere provata la SCA, in linea con la propria precedente decisione n. 6153/2025; il riutilizzo del primo fattore nella stessa sessione è ammesso secondo la Q&A EBA 2018_4141. Le singole operazioni risultano convalidate mediante elemento di possesso (device certificato) e di inerenza (biometria).

Passando alla colpa, il Collegio riconosce che il messaggio di smishing conserva carattere insidioso, ma rileva che il cliente non ha allegato ulteriori connotati della truffa. La condotta del titolare è valutata gravemente negligente: egli non ha monitorato il conto per circa un mese, pur avendo disponibilità dei movimenti tramite app e pur essendo stato informato della pubblicazione dell’estratto conto, e non ha attivato prima il blocco della carta. Le operazioni fraudolente, peraltro, erano intervallate da transazioni genuine, indice dell’uso continuativo dello strumento. Un controllo tempestivo avrebbe limitato il danno. Tenuto conto del rimborso già operato, il Collegio non accoglie il ricorso.