La colpa grave dell’utente esclude il rimborso per truffa del sito clone (ABF Collegio di Milano n. 3209 del 10.04.2026)

Principi di diritto (Massima)
In materia di servizi di pagamento, grava sull’intermediario l’onere di provare l’avvenuta autenticazione forte (SCA) dell’operazione disconosciuta, nonché l’insussistenza di malfunzionamenti. Accertata la SCA, l’operazione si considera autorizzata e il cliente può subirne le conseguenze solo in caso di dolo o colpa grave. Integra colpa grave la condotta dell’utente che, pur ricevendo una notifica push “parlante” recante importo, valuta e beneficiario, confermi comunque il pagamento mediante inserimento del PIN, senza verificare la coerenza dei dati con la finalità dichiarata. L’età avanzata del titolare e la provenienza della truffa da un sito clone di un terzo non escludono la sua responsabilità.

Il Fatto

La ricorrente disconosce un’operazione di pagamento online di circa € 1.279,97, eseguita in valuta estera il 14.07.2025, che assume di non aver effettuato personalmente. Racconta di aver tentato, mentre si trovava in auto in Austria, di acquistare una vignetta autostradale digitale sul sito dell’operatore A*, senza ricevere il prodotto; contattato l’intermediario, apprendeva che la carta era stata clonata e che era stato eseguito un pagamento.

L’intermediario resiste sostenendo che l’operazione è stata approvata tramite autenticazione forte e che la notifica push descrittiva dell’operazione è stata inviata al dispositivo della cliente. Il ricorso chiede il rimborso integrale o, in via subordinata, di una quota equa, deducendo la mancanza di una volontà consapevole e un concorso di responsabilità dell’intermediario per insufficiente presidio antifrode.

La motivazione del Collegio

Il Collegio ricostruisce il riparto dell’onere probatorio: spetta all’intermediario dimostrare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti dei sistemi. La SCA richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza. Sempre all’intermediario incombe la prova dei fatti integranti la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’uso fraudolento.

Nel caso concreto l’autenticazione risulta provata: la PUSH è stata generata tramite l’app installata sul dispositivo della ricorrente, identificato da un codice univoco (fattore possesso), e validata con digitazione del PIN (fattore conoscenza). Accertata la SCA, il Collegio passa a verificare la colpa grave e l’eventuale concorso dell’intermediario.

Sul punto osserva che la truffa ha avuto origine da un sito clone di un soggetto terzo, diverso dall’intermediario. La stessa ricorrente ammette, con valenza confessoria, di aver autorizzato il pagamento, ingannata dal sito che imitava il merchant. Ella riconosce peraltro che l’operazione presentava indizi di anomalia evidenti e concorrenti: valuta indonesiana incoerente con la finalità dichiarata, importo elevato, beneficiario extra-UE.

Il Collegio richiama l’orientamento secondo cui la notifica push “parlante”, recante i dettagli dell’operazione, equivale all’attivazione di un sistema di alert, citando Collegio di Palermo, decisione n. 307/2025 e Collegio di Torino, decisione n. 1344/2023. Quanto all’età avanzata della cliente (88 anni), il Collegio rileva che la scelta di usare uno strumento di pagamento alternativo al contante comporta l’accettazione dei rischi connessi e non esclude la colpa grave; rileva inoltre che la stessa ricorrente aveva indicato nel reclamo il figlio come autore dell’operazione.

Conclusivamente, il Collegio constata la colpa grave della ricorrente e l’assenza di responsabilità dell’intermediario e ritiene il ricorso non meritevole di accoglimento.