Spoofing e colpa grave del cliente: onere probatorio e autenticazione forte (ABF Collegio di Milano n. 8138 del 09.09.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la prova dell’avvenuta autenticazione forte (SCA) costituisce il prius logico per l’esame della colpa grave del cliente e sposta su quest’ultimo l’onere di dimostrare la propria diligenza. Il prestatore di servizi di pagamento risponde degli utilizzi fraudolenti solo se essi non siano stati cagionati da frode, dolo o colpa grave dell’utilizzatore. La mancata allegazione del registro delle chiamate non consente di verificare se il numero chiamante sia riconducibile all’intermediario e impedisce di configurare il legittimo affidamento sulla genuinità del contatto. Integra colpa grave la condotta del cliente che, indotto telefonicamente, comunichi le proprie credenziali statiche e dinamiche e autorizzi l’accesso remoto ai conti, permettendo ai frodatori di svincolare somme, disporre giroconti e innalzare i limiti di spesa.

Il Fatto

La ricorrente riferiva di aver ricevuto, in data 13/10/2025, una chiamata apparentemente proveniente dall’assistenza clienti dell’intermediario. L’interlocutore la induceva a fornire le credenziali e ad autorizzare l’accesso remoto ai conti, prospettandole la revoca di movimenti non effettuati. I frodatori svincolavano somme e disponevano quattro giroconti da € 15.000,00, € 14.500,00, € 24.000,00 e € 25.000,00 dai conti deposito verso conti cointestati, oltre a due bonifici istantanei da € 4.990,00 ciascuno.

La sera stessa la cliente denunciava l’accaduto al servizio clienti e alle Autorità. Chiedeva il rimborso delle somme sottratte, lamentando la negligente assenza di strumenti di tutela e l’autorizzazione di un bonifico in assenza di disponibilità sul conto.

La Motivazione della Corte

Il Collegio ricostruisce la disciplina applicabile nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2. Il quadro impone obblighi simmetrici: ai fruitori la diligenza nell’uso degli strumenti e la segretezza dei codici; ai prestatori la predisposizione di sistemi di sicurezza idonei, con la Strong Customer Authentication disciplinata dagli artt. 97 e 98 della direttiva PSD2, dall’art. 10-bis del d.lgs. n. 11/2010 e dal Regolamento Delegato UE 2018/389.

La SCA richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso. Sul piano dell’imputazione, la responsabilità grava sull’impresa salvo frode, dolo o colpa grave del cliente, purché l’utilizzo non autorizzato derivi da furto, smarrimento o illecito uso dei codici da parte di terzi frodatori.

Le tracciature informatiche documentano il login delle ore 19.21 con codice di accesso e OTP ricevuto via SMS, seguito da svincoli e giroconti; alle ore 19.28 l’abilitazione del bonifico istantaneo e tre modifiche dei limiti, sempre via OTP. I bonifici risultano autenticati mediante digitazione del codice OTP nella sessione già inizializzata. Il Collegio richiama la Q&A EBA 2018_4141, che ritiene conforme al quadro normativo il riutilizzo di un secondo fattore di diversa natura già inserito nella stessa sessione. Accertata la conformità a SCA, resta da verificare la colpa grave, rispetto alla quale la prova di autenticazione è prius logico (cfr. Coll. coord., dec. n. 22745/2019).

La cliente assume di aver ricevuto la chiamata da un numero riconducibile all’intermediario, ma non ne fornisce prova documentale. Secondo il consolidato indirizzo del Collegio, la mancata allegazione del registro delle chiamate impedisce di verificare la riconducibilità del numero e di configurare un legittimo affidamento. Quanto all’SMS prodotto, la denominazione della chat non è riferibile all’intermediario e in essa non compaiono altri messaggi genuini: la cliente è dunque caduta colpevolmente vittima di spoofing.

Infondata è anche la doglianza sull’autorizzazione del bonifico in assenza di fondi. La disciplina contrattuale prevede l’immediata disponibilità delle somme sul rapporto beneficiario per le operazioni di giroconto; la sequenza temporale e i log confermano che le disposizioni seguirono al preventivo recupero della provvista. Il ricorso è respinto.