Autenticazione forte precede la colpa grave del cliente nello spoofing (ABF Collegio di Roma n. 4733 del 26.05.2026)

Principi di diritto (Massima)
Nei servizi di pagamento disciplinati dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, l’intermediario che non fornisca la prova dell’autenticazione forte delle operazioni contestate è tenuto al rimborso integrale delle somme addebitate. La prova dell’autenticazione costituisce un prius logico rispetto alla prova della colpa grave dell’utente: solo una volta dimostrata l’autenticazione diventa possibile valutare il comportamento del cliente. L’assenza di tale prova è risolutiva e dirimente, anche quando la truffa si realizzi mediante tecniche di spoofing e induzione del cliente a confermare i pagamenti tramite l’applicazione bancaria.

Il Fatto

Il ricorrente ha contestato tre addebiti disposti tramite home banking su una carta di debito rilasciata dall’intermediario convenuto, per complessivi euro 4.540,00. Secondo la dinamica riferita, il 28 novembre 2025 il cliente riceveva un SMS che segnalava una presunta operazione sospetta e contattava il numero indicato nel messaggio. Un sedicente operatore lo guidava in una pretesa procedura di sicurezza che si traduceva, in realtà, nella conferma di tre pagamenti tramite l’applicazione installata sul dispositivo mobile, per importi di euro 1.100,00, euro 1.800,00 ed euro 1.640,00.

Il ricorrente ha chiesto il rimborso delle somme sottratte. L’intermediario non ha depositato controdeduzioni e non si è costituito nel procedimento, nonostante la regolare trasmissione del ricorso in data 19 dicembre 2025.

La motivazione del Collegio

Il Collegio ha inquadrato la vicenda nello schema del d.lgs. n. 11/2010, come novellato dal d.lgs. n. 218/2017, che ha recepito la direttiva (UE) 2015/2366. La controversia riguarda una truffa riconducibile alla categoria dello spoofing, nella quale il cliente ha ricevuto un SMS nella chat già utilizzata per le comunicazioni ufficiali con l’intermediario e, seguendo le istruzioni del truffatore, ha confermato le operazioni tramite notifiche push.

Il dato decisivo, per il Collegio, è processuale prima che sostanziale: l’intermediario non si è costituito e non ha fornito alcuna prova dell’autenticazione forte delle operazioni contestate. Tale carenza è stata considerata risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa ascrivibili al cliente.

Il Collegio ha richiamato il proprio consolidato orientamento, ribadendo che la prova dell’autenticazione rappresenta, in aderenza al dato normativo, un prius logico rispetto alla prova della colpa grave dell’utente, secondo il principio già espresso da Collegio di Roma, decisione n. 8584/2024. Ne consegue che l’eventuale negligenza del cliente non può essere esaminata prima e a prescindere dalla dimostrazione dell’avvenuta autenticazione delle operazioni.

Da qui l’integrale accoglimento del ricorso e il diritto del proponente al ristoro di tutte le somme oggetto di contestazione. Il Collegio ha quindi disposto che l’intermediario corrisponda al ricorrente euro 4.540,00, oltre al rimborso di euro 20,00 per la presentazione del ricorso, e alla Banca d’Italia la somma di euro 200,00 quale contributo alle spese della procedura.