Truffa sul pagamento autenticato con SCA e mancata allegazione del messaggio civetta (ABF Collegio di Milano n. 1475 del 18.02.2026)

Principi di diritto (Massima)
Nelle controversie sul disconoscimento di operazioni di pagamento, il prestatore di servizi di pagamento deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito malfunzionamenti. Accertata l’autenticazione forte conforme alla normativa PSD2 e in assenza di indici di anomalia, la mancata allegazione da parte del cliente delle circostanze di fatto della truffa costituisce elemento dal quale il Collegio trae il convincimento circa la colpa grave dell’utilizzatore. In particolare, la mancata produzione del messaggio civetta non consente di verificare la riconducibilità del mittente all’intermediario e l’affidamento dell’utente sulla genuinità del messaggio, con conseguente rigetto del ricorso.

Il Fatto

Il ricorrente riferisce di aver disposto, il 23 settembre 2025, un pagamento di 10 euro tramite cellulare, accedendo al sito di un operatore telefonico per una ricarica. Dopo l’operazione riceveva la notifica di ricarica ma rilevava un addebito sul conto di importo diverso, pari a €575,39. Ritenendosi vittima di una truffa, contattava immediatamente il numero verde dell’intermediario, disconosceva il pagamento e bloccava la carta, presentando anche denuncia.

La banca riaccreditava inizialmente la somma, per poi comunicare il 17 ottobre 2025 che l’operazione risultava correttamente autorizzata con le credenziali del cliente, con conseguente riaddebito dell’importo. Il ricorrente domanda quindi il rimborso. L’intermediario resiste sostenendo che il pagamento è stato approvato mediante autenticazione a due fattori e che l’episodio è imputabile alla negligenza del cliente, che non avrebbe custodito gli strumenti e i codici di accesso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuato nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2. L’art. 10 del decreto pone a carico del prestatore di servizi di pagamento la prova che l’operazione è stata autenticata, registrata e contabilizzata senza malfunzionamenti; solo in un secondo momento l’intermediario deve dimostrare che l’uso indebito del dispositivo è riconducibile al comportamento fraudolento doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Sul primo versante il Collegio ritiene assolto l’onere probatorio. Dai dati emerge che il 23 settembre 2025, alle ore 09:33, è stato effettuato un login dall’APP autorizzato mediante fattore di possesso, ossia la validazione del token, e fattore biometrico TOUCH; alle ore 09:34 l’operazione è stata autenticata tramite un codice OTP dinamico generato dall’APP installata sul telefono, previa validazione biometrica. L’operazione risulta dunque autenticata con un elemento di inerenza e uno di possesso, in conformità all’autenticazione forte richiesta dalla normativa.

Passando alla colpa, il Collegio richiama l’orientamento condiviso tra i Collegi: ai fini dell’applicazione della disciplina PSD2 è necessario e sufficiente che il cliente neghi di aver autorizzato la transazione, ma la mancata allegazione dei fatti può essere valutata tra gli elementi del convincimento solo una volta verificata la SCA. Nel caso concreto il ricorrente non fornisce dettagli sulle modalità dell’utilizzo fraudolento e non produce alcuna evidenza del messaggio decettivo né del presunto sito clone, così non consentendo di apprezzare la natura particolarmente sofisticata della truffa.

La mancata allegazione del messaggio civetta assume rilievo decisivo: secondo l’orientamento consolidato dei Collegi essa impedisce di verificare se il mittente sia riconducibile all’intermediario e se sia configurabile un legittimo affidamento dell’utente circa la genuinità del messaggio. A fronte di un sistema di autenticazione conforme ai requisiti normativi e in mancanza di elementi idonei a escludere la colpa grave, il Collegio presume la colpa grave dell’utilizzatore e rigetta il ricorso.