Responsabilità per truffa mediante spoofing e social engineering tra cliente e banca (ABF Collegio di Milano n. 3025 del 07.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende di per sé autorizzata la transazione, poiché la disciplina speciale di recepimento della PSD2 esige che il consenso sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento. Grava pertanto sull’intermediario la prova della autenticazione forte del cliente (SCA), che non può essere integrata da mere dichiarazioni o da log privi di legenda esplicativa. Ove la SCA non sia provata, l’operazione è non autorizzata e l’intermediario è tenuto al rimborso, salvo che ricorra la colpa grave dell’utente, valutata alla luce del complesso delle circostanze e della condotta tenuta. Il rimborso resta invece escluso per le operazioni rispetto alle quali la SCA risulti dimostrata e la condotta del cliente integri colpa grave.

Il Fatto

Il ricorrente chiede il rimborso di complessivi € 11.477,05, oltre spese di difesa, per una serie di operazioni eseguite sul proprio conto corrente tra il 13 e il 16 agosto 2025. Espone di aver ricevuto un SMS apparentemente proveniente dall’intermediario, con cui si segnalava un ordine di pagamento in corso, e di essere stato poi contattato da un sedicente operatore dell’ufficio antifrode che lo ha indotto a compiere operazioni sul proprio cellulare, presentate come necessarie per bloccare il conto. Solo dopo essersi recato presso una stazione dei Carabinieri si è reso conto della truffa.

L’intermediario resiste sostenendo che il ricorrente abbia personalmente eseguito le operazioni, fornendo volontariamente le credenziali ai truffatori, e che la frode si sia realizzata grazie alla sua collaborazione. Sostiene inoltre la correttezza della contabilizzazione e l’attivazione della procedura di recall, con esito negativo.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il perimetro della controversia, individuando sette operazioni: cinque bonifici e due prelievi smart. Richiama quindi l’orientamento secondo cui, se il concorso causale dell’utente è parziale, la transazione non è per ciò solo autorizzata, dovendosi verificare in via prioritaria se l’intermediario abbia provato la sussistenza della SCA.

Quanto ai cinque bonifici, la documentazione prodotta — validazione delle impronte digitali e del PIN, accesso da dispositivo già in uso al ricorrente — consente di ritenere raggiunta la prova della autenticazione forte. Diversamente, per i due prelievi smart la prova è giudicata incompleta: i log relativi all’installazione dell’app su un nuovo dispositivo non sono verificabili, mancando legenda e decodifica delle diciture di canale, e non bastano le mere dichiarazioni dell’intermediario sull’attivazione dell’app tramite codice di adesione, PIN e terzo fattore.

Accertata la SCA solo per i bonifici, il Collegio passa all’esame della colpa grave. Ritiene che la condotta del ricorrente — più telefonate in più giorni, la mancata attenzione agli SMS antifrode inviati dall’intermediario, le dichiarazioni confessorie sulla cooperazione prestata e la mancata produzione degli screenshot delle comunicazioni — integri la colpa grave. Ritiene invece che l’intermediario, che ha tentato il recall, non abbia adeguatamente presidiato le caratteristiche dei bonifici disconosciuti: cinque operazioni disposte in poche ore e tutte a favore del medesimo IBAN.

Il Collegio accoglie quindi parzialmente il ricorso, riconoscendo la somma dei prelievi smart, per i quali manca la prova della SCA, e degli ultimi tre bonifici del 14 agosto 2025, per complessivi € 4.924,00. Nega invece le spese di difesa, difettando i presupposti secondo la recente pronuncia del Collegio di Coordinamento.