Colpa grave del cliente e SCA: nessun rimborso per spoofing bancario (ABF Collegio di Milano n. 3260 del 13.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, la conformità delle stesse alla strong customer authentication prevista dal d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE, costituisce il prius logico per valutare la condotta del cliente. Ove l’autenticazione sia avvenuta mediante due fattori indipendenti e di categorie diverse, l’onere di dimostrare la non riconducibilità dell’operazione a frode, dolo o colpa grave del cliente grava sull’intermediario. Tuttavia, quando il cliente abbia comunicato i propri codici a terzi e non abbia attivato i presidi di verifica messi a disposizione dall’intermediario, il suo comportamento assume efficacia causale assorbente rispetto al pregiudizio. In tal caso, il prestatore di servizi di pagamento non è tenuto al rimborso.

Il Fatto

La ricorrente riferiva di aver ricevuto, in data 02/07/2025, una telefonata apparentemente proveniente dal proprio intermediario, con cui le veniva segnalata un’operazione sospetta di acquisto di criptovalute di importo esiguo. Seguiva un SMS contenente un codice OTP, inserito nella chat abituale di conversazione con la banca. Terminata la chiamata, la cliente riscontrava sulla propria home banking tre operazioni non autorizzate, per complessivi € 4.163,98, e presentava denuncia all’autorità giudiziaria.

L’intermediario si costituiva precisando di aver già rimborsato € 1.000,00, somma non menzionata nel ricorso, e sosteneva che l’installazione dell’app su un nuovo dispositivo fosse stata possibile solo grazie alla cooperazione, più o meno consapevole, della cliente, che aveva fornito elementi di sua esclusiva conoscenza. Eccepiva inoltre la colpa grave della ricorrente, per non essersi avvalsa del servizio di verifica della genuinità delle chiamate.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina delle operazioni di pagamento, richiamando gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d. lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389, oltre ai criteri interpretativi dell’EBA. La SCA si realizza mediante almeno due dei tre fattori – conoscenza, inerenza, possesso – reciprocamente indipendenti e appartenenti a categorie diverse. Il riparto degli oneri probatori è modulato in funzione del disconoscimento, con l’obiettivo di addossare all’impresa la responsabilità degli utilizzi fraudolenti non cagionati da frode, dolo o colpa grave del cliente.

Sul piano fattuale, dai log documentali emerge che le operazioni sono state precedute dall’installazione dell’app su un nuovo dispositivo, avvenuta mediante digitazione del Codice Cliente, del PIN e di un codice OTP inviato via SMS al numero della cliente. L’accesso all’area riservata è dunque avvenuto in modalità conforme a SCA, mediante il fattore di conoscenza e il fattore di possesso. Anche le singole operazioni risultano eseguite in conformità alla SCA, tramite l’app e la digitazione del fattore biometrico o dello Smart Code.

Accertata la conformità tecnica, il Collegio verifica la sussistenza di profili di colpa grave, richiamando il precedente Coll. coord. n. 22745/2019. La fattispecie viene ricondotta alla truffa qualificata come spoofing: la telefonata sembrava provenire da numerazione riferibile all’intermediario e gli SMS erano inseriti nella chat ufficiale, con un certo carattere di insidiosità. Tuttavia il contenuto dei messaggi “parlanti” era tale da poter mettere in allarme la cliente: i primi due recavano il codice per la configurazione dell’app e il terzo informava della sospensione dell’operatività per ragioni di sicurezza.

I messaggi contenevano l’espresso avvertimento che, ove non fosse stata la cliente a inoltrare la richiesta, avrebbe dovuto contattare immediatamente l’intermediario. Tale evidenza induce a presumere che la cliente avesse previamente comunicato al truffatore il proprio PIN e che non abbia contattato la banca per bloccare la configurazione. Il tutto, unitamente al mancato uso del servizio di verifica della genuinità delle telefonate, assume efficacia causale assorbente. Il ricorso è pertanto respinto.