SMS civetta e comunicazione dei codici token (ABF Collegio di Milano n. 4339 del 13.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, l’intermediario deve provare l’autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti; la SCA richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza. L’eventuale negligenza del cliente rileva solo se l’intermediario abbia fornito prova piena dell’osservanza del sistema di SCA e dei congegni di alert. Il concorso causale parziale dell’utente in fase dispositiva non rende per ciò solo autorizzata la transazione, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. Resta ferma la valutazione del dolo o della colpa grave dell’utilizzatore ai sensi degli artt. 7 e 12 del D.lgs. n. 11/2010: la comunicazione dei codici generati dal token integra colpa grave e giustifica il rigetto del ricorso, in assenza di responsabilità concorrente dell’intermediario.

Il Fatto

Il ricorrente riceveva un SMS apparentemente proveniente dall’intermediario, con la sua intestazione, che segnalava un pagamento anomalo di € 1.490,99 con carta di credito e indicava un numero verde da contattare. Seguendo le istruzioni, il cliente chiedeva di parlare con un operatore certificato; poco dopo riceveva una chiamata da un numero dell’ufficio dell’intermediario già memorizzato in rubrica. Un sedicente operatore, con il pretesto di sbloccare il conto, lo induceva a comunicare il codice del token e i codici temporanei via via generati, e concordava un appuntamento per il giorno successivo.

Recatosi in filiale il 04/09/2025, il ricorrente apprendeva dell’inesistenza dell’appuntamento e della sottrazione di € 4.080,00 a favore di una società. Sporta denuncia e presentato reclamo il 07/11/2025, otteneva riscontro negativo e adiva l’ABF chiedendo il rimborso della somma, delle spese legali e di € 20,00 per il ricorso. L’intermediario eccepiva lo spoofing, l’avvenuta autorizzazione dell’operazione e la colpa grave del cliente, precisando di aver tentato senza successo il recall del bonifico.

La motivazione del Collegio

Il Collegio ricostruisce il riparto dell’onere probatorio. L’intermediario deve dimostrare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute e l’insussistenza di malfunzionamenti. La SCA è richiesta sia in fase di accesso sia in fase di esecuzione, e si realizza con almeno due dei tre fattori — conoscenza, possesso, inerenza — reciprocamente indipendenti. Spetta sempre all’intermediario provare i fatti integranti la colpa grave dell’utilizzatore.

Il Collegio esamina l’operazione, un bonifico ordinario effettuato da browser e autorizzato tramite il sistema Mapellum, con inserimento di Codice PIN, Token VASCO e Captcha. Quanto all’accesso all’home banking, le evidenze attestano l’uso del PIN (fattore di conoscenza) e del codice prodotto dal Token VASCO (fattore di possesso); la stessa parte ricorrente ha dichiarato, con valore confessorio, di aver comunicato al truffatore i codici generati dal token fisico. Anche la fase dispositiva risulta autenticata con PIN e Token, con l’ulteriore duplice controllo del sistema Mapellum. La SCA è dunque ritenuta provata in tutti i passaggi.

Il Collegio valuta quindi la colpa grave del cliente e l’eventuale concorso di colpa dell’intermediario. Il messaggio ricevuto indicava un’operazione anomala e un numero da contattare per bloccare il pagamento, istruzione prontamente eseguita. Dalle evidenze prodotte emerge però che la denominazione della chat non è riferibile all’intermediario, sebbene l’SMS ne riporti il nome in apertura, e che il numero mittente è segnalato online come truffaldino. Non risultano messaggi genuini antecedenti o successivi, né ulteriori messaggi fraudolenti relativi alle operazioni contestate. Il testo contiene errori di punteggiatura, come la virgola dopo il simbolo € e la conseguente mancata maiuscola, ed è stato ricevuto alle ore 16:38 del 03/09/2025, circa un’ora e quaranta minuti prima dell’operazione delle ore 18:18.

Su queste basi il Collegio ritiene la condotta del ricorrente connotata da colpa grave e non ravvisa una responsabilità concorrente dell’intermediario. La richiesta di rimborso è pertanto respinta, con rigetto del ricorso. La decisione conferma che la prova piena della SCA sposta sul cliente la valutazione della diligenza nell’uso dei fattori di autenticazione, e che la comunicazione dei codici generati dal token integra quella colpa grave che esclude il rimborso.