Truffa informatica, SCA provata e mancato alert: concorso di responsabilità dell’intermediario (ABF Collegio di Milano n. 5082 del 04.06.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario che provi l’autenticazione forte del cliente ha assolto l’onere di cui all’art. 10, comma 1, d.lgs. n. 11/2010, ma non è ancora esonerato da responsabilità: deve dimostrare che l’uso indebito è riconducibile a dolo o colpa grave dell’utilizzatore. La mancata attivazione del servizio di alert costituisce carenza organizzativa imputabile all’intermediario, rilevabile anche d’ufficio, salvo che le operazioni siano così ravvicinate nel tempo da rendere inutile l’avviso. Ove tra le prime e le successive operazioni trascorrano diverse ore, l’alert avrebbe consentito all’utente di avvedersi della frode: gli importi delle operazioni successive restano a carico dell’intermediario.

Il Fatto

La ricorrente apprende dal servizio clienti dell’intermediario di due tentativi di pagamento bloccati per ragioni di sicurezza. Nel corso della chiamata riferisce che il ripristino del telefono aveva evidenziato un’app dannosa, mai installata, e che nei giorni precedenti aveva aperto un link comparso in uno spot pubblicitario. L’operatore le consiglia di rivolgersi alle autorità e fissa un appuntamento per il giorno successivo.

Il 23/12/2025 la cliente disconosce le ultime quattro operazioni, reinstalla l’app e cambia i codici; l’intermediario riaccredita provvisoriamente parte degli importi. Chiede la restituzione di € 2.913,12. L’intermediario eccepisce che le operazioni sono state effettuate dal dispositivo della cliente e autorizzate mediante biometria, invoca la colpa grave dell’utente e chiede in subordine il riconoscimento di un concorso di colpa.

La motivazione del Collegio

Le operazioni contestate sono otto tra bonifici e pagamenti e-commerce, disposte tra il 16 e il 20 dicembre 2025, per un importo complessivo di € 2.953,12. Esse ricadono nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD 2. Il Collegio richiama l’art. 10, comma 1, che pone a carico del prestatore l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, e l’art. 10, comma 2, che richiede la prova del comportamento fraudolento o gravemente colposo dell’utilizzatore.

Dai log prodotti risulta che i bonifici istantanei sono stati preceduti dall’accesso all’app, autenticata tramite SCA con fattore di possesso (device certificato) e di inerenza (Touch id); le operazioni e-commerce sono state disposte con l’inserimento del CVV e dell’OTP generato dal device della cliente. Il Collegio reputa pertanto fornita piena prova di SCA.

Acclarata l’autenticazione, il Collegio valuta la condotta della cliente e rileva che le dichiarazioni contenute nella denuncia non consentono di contestualizzare la frode né le sue modalità: la ricorrente riferisce solo del malfunzionamento del dispositivo dopo l’apertura di un link pubblicitario. Su questa base, e secondo il proprio orientamento, il mancato circostanziamento degli utilizzi non autorizzati fonda una valutazione di colpa grave della condotta dell’utente.

La colpa grave non esclude però altri profili di responsabilità sul versante degli obblighi di protezione dell’intermediario. Per nessuna operazione vi è evidenza dell’attivazione di un servizio di alert: le notifiche push documentate risultano funzionali all’autorizzazione delle operazioni, non alla comunicazione dell’operazione eseguita, e i fogli push non riportano quelle relative ai bonifici. Secondo il Collegio di Coordinamento n. 8553/2019, il servizio di sms alert rientra nei doveri di protezione e l’intermediario può esserne esonerato solo provando l’esplicito rifiuto dell’utente; la verifica delle misure di sicurezza non è omissibile ed è valutata alla stregua dell’art. 1176, comma 2, cod. civ. La ricezione dell’alert è però irrilevante se le operazioni sono ravvicinate.

Nel caso di specie tra la seconda e la terza operazione trascorrono circa 16 ore: un alert avrebbe consentito alla cliente di avvedersi della frode e di prevenirne le ulteriori. Il Collegio accoglie quindi parzialmente il ricorso e pone a carico dell’intermediario le operazioni dalla terza all’ottava, per € 1.563,00.