Truffa da phishing e bonifico disconosciuto: prova SCA e oneri del cliente (ABF Collegio di Milano n. 1412 del 17.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’onere di provare l’autenticazione forte del cliente (SCA), la corretta registrazione e la contabilizzazione dell’operazione, in assenza di anomalie, grava sull’intermediario. Questi deve altresì provare i fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui il cliente sopporta le conseguenze dell’uso fraudolento dello strumento di pagamento. Ove la banca documenti l’autenticazione a due fattori, l’invio della PUSH e la sequenza dei log, la prova liberatoria si considera raggiunta. Il cliente che non produca alcuna evidenza della truffa asseritamente subita non assolve i propri oneri di prospettazione e prova, e il ricorso va rigettato.

Il Fatto

Il ricorrente chiede il riaccredito di quanto sottratto per effetto di una truffa. Riferisce che il 1° ottobre 2024, consultando l’estratto conto, apprendeva il blocco delle credenziali di home banking e, contattato l’intermediario, scopriva l’esecuzione di un bonifico fraudolento di 4.991,00 euro. Sostiene di aver custodito correttamente le proprie credenziali e di non essere in grado di fornire ulteriori informazioni.

L’intermediario chiede il rigetto del ricorso: l’operazione sarebbe stata eseguita dal dispositivo della ricorrente, senza anomalie, e autorizzata, seppur inconsapevolmente; la frode sarebbe iniziata con un contatto non riconducibile alla banca; mancherebbe ogni evidenza dell’SMS e della chiamata ricevuti.

La motivazione del Collegio

Il Collegio richiama i principi consolidati in materia di operazioni fraudolente, fissati dal D. Lgs. 27.1.2010 n. 11 e dal Provvedimento attuativo della Banca d’Italia del 5.7.2011. Da tali fonti discendono due passaggi ineludibili sul piano degli oneri probatori: spetta all’intermediario provare l’autenticazione e la corretta registrazione delle operazioni disconosciute; spetta sempre all’intermediario provare i fatti che integrano la colpa grave dell’utilizzatore.

Quanto alla prova della SCA, l’intermediario ha prodotto i log delle azioni precedenti e di quelle contestuali all’operazione. Il sistema ha verificato l’esistenza del codice cliente e la coerenza della data di nascita; l’accesso all’area riservata è avvenuto tramite PIN e device, elementi di conoscenza e di possesso. L’esecuzione del bonifico è stata autenticata tramite SmartCode e PUSH sul telefono, con evidenza della notifica alert inviata all’indirizzo mail della ricorrente alle 16:31:16. La prova della SCA è dunque raggiunta.

Il Collegio passa poi alla condotta delle parti, ricostruita dalla denuncia, ritenuta più dettagliata della narrativa del ricorso: un messaggio apparentemente proveniente dall’intermediario, l’associazione ad Apple Pay, una chiamata del medesimo numero e la richiesta di autenticazione. Tuttavia, agli atti non vi è copia dell’SMS civetta né della chiamata asseritamente ricevuta. Non è quindi possibile verificare elementi che possano fondare una responsabilità concorrente dell’intermediario, né ritenere che la ricorrente abbia assolto integralmente i propri oneri di prospettazione e prova.

Il Collegio precisa che solo il bonifico di 4.991,00 euro è oggetto di disconoscimento, restando estranei al giudizio il giroconto e le operazioni in criptovalute. Rileva infine che la richiesta di recall del bonifico è stata effettuata il 2 ottobre 2024, con esito negativo per diniego del PSP del beneficiario. Su queste basi il ricorso è non accolto.