Spoofing bancario: SCA provata e colpa grave del cliente escludono il rimborso (ABF Collegio di Milano n. 3825 del 30.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, gli oneri probatori gravano integralmente sull’intermediario: egli deve provare l’autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione, nonché i fatti idonei a integrare il dolo o la colpa grave dell’utilizzatore. La strong customer authentication richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza, sia in fase di accesso sia in fase di esecuzione. Provata la SCA su tutti i passaggi, il concorso causale parziale dell’utente non rende di per sé autorizzata la transazione, ma consente di valutare in concreto la sua condotta. La negligenza del cliente rileva quando l’intermediario abbia dimostrato l’osservanza del sistema di autenticazione e l’apprestamento degli alert; in tal caso il rimborso è escluso.

Il Fatto

La ricorrente riferisce di essere stata vittima di una sofisticata operazione di spoofing. In data 24.03.2025 riceveva un messaggio fraudolento, collocato nella chat delle comunicazioni ufficiali dell’intermediario, che la invitava a contattare un numero telefonico per bloccare un presunto addebito sospetto di € 1.980,00. Un sedicente addetto dell’ufficio antifrode le forniva istruzioni per diverse operazioni di sicurezza, protrattesi fino al giorno successivo.

Solo al termine delle interlocuzioni la ricorrente riscontrava l’esecuzione di un bonifico non autorizzato di € 48.720,01. Presentava denuncia-querela il 26.03.2025 e reclamo con disconoscimento l’11.06.2025, con riscontro negativo. Chiedeva quindi la restituzione integrale, deducendo l’assenza di dolo o colpa grave e la carenza dei presidi di controllo dell’intermediario, che non avrebbe attivato blocchi cautelativi di fronte a un importo anomalo. L’intermediario chiedeva il rigetto, sostenendo che l’operazione era stata eseguita con i fattori di autenticazione previsti e che la condotta della cliente era gravemente negligente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel D.lgs. 27.01.2010 n. 11 e nel Provvedimento attuativo della Banca d’Italia del 05.07.2011, ribadendo che l’onere della prova incombe sull’intermediario. Questi deve dimostrare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute, nonché i fatti che integrano la colpa grave dell’utilizzatore, unica ipotesi — oltre al dolo — in cui il cliente sopporta le conseguenze dell’uso fraudolento.

Il Collegio precisa che, secondo l’orientamento arbitrale, la negligenza del cliente rileva solo quando l’intermediario abbia provato la scrupolosa osservanza del sistema di SCA e la predisposizione dei congegni di alert. Se il concorso causale dell’utente in fase dispositiva è parziale, la transazione non è per ciò solo autorizzata: la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento.

Passando all’esame del caso, il Collegio verifica l’autenticazione forte. Per le azioni antecedenti l’operazione contestata, le evidenze prodotte con legenda dimostrano che l’autenticazione è avvenuta tramite mobile token sullo smartphone, sbloccato con PIN, con i due fattori congiunti di conoscenza e possesso. Quanto all’esecuzione del bonifico di € 48.720,00, un fattore è dato dalla validazione della notifica push con generazione dell’OTP transazionale silente (possesso), l’altro dall’utilizzo del PIN (conoscenza), con evidenza dell’OTP generatosi. La SCA è dunque provata in entrambe le fasi.

Il Collegio valuta quindi la colpa grave della ricorrente. L’SMS civetta non presenta mittente individuabile, non contiene messaggi genuini nella medesima chat e indica un numero non riconducibile all’intermediario; manca il registro delle chiamate. La ricorrente dichiara di aver rilevato la truffa solo il 26.03.2025, mentre risultano molteplici accessi già il giorno precedente. L’intermediario afferma di aver esperito il recall senza successo, ma non risulta documentazione; dagli atti risultano invece l’invio dell’SMS alert e della notifica push in data e ora coerenti. Quanto alla dedotta anomalia dell’importo, la ricorrente non produce documentazione sulla propria abituale operatività e la causale “pagamento immobile” non presentava profili di anomalia; il Collegio esclude un dovere di monitoraggio in capo all’intermediario.

Ritenuta provata la SCA e sussistente la colpa grave della ricorrente, il Collegio non accoglie il ricorso. La decisione conferma l’impostazione secondo cui la tutela del cliente opera in presenza di una condotta diligente, non quando l’utente segua le istruzioni di un sedicente operatore senza verifiche sui canali ufficiali.