Truffa e spoofing bancario: onere prova SCA e indici anomalia carta debito (ABF Collegio di Milano n. 3716 del 27.04.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento disconosciute, qualora non risulti pacifico o dimostrato che le stesse siano state compiute direttamente e interamente dal cliente, l’intermediario è gravato della prova della strong customer authentication per ciascuna operazione e per ogni fase attraverso cui si è realizzata. Il difetto, anche parziale, di tale prova è risolutivo e dirimente rispetto alla valutazione di eventuali profili di colpa ascrivibili al cliente. L’esonero dalla prova dell’autenticazione opera solo quando le operazioni siano state poste in essere dal cliente con l’inserimento della disposizione di pagamento e di tutti i fattori di autenticazione. Resta ferma la verifica della responsabilità concorrente del prestatore di servizi di pagamento secondo il diritto comune, ove emerga un suo apporto causale alla frode.

Il Fatto

La ricorrente riferisce di aver ricevuto, in data 06/12/2025, notifiche di due pagamenti effettuati a Copenaghen e, poco dopo, una chiamata apparentemente proveniente dall’intermediario, con un operatore che si presentava come addetto al servizio antifrode. Le veniva prospettato un attacco volto a svuotarle il conto e la necessità di autorizzare lo storno delle operazioni. In realtà, invece di stornare, la cliente authorizzava cinque pagamenti da € 263,75 ciascuno; complessivamente venivano eseguite quindici operazioni per € 1.418,12.

Dopo il blocco della carta e la denuncia, la ricorrente presentava reclamo ottenendo solo un rimborso parziale di € 99,00. Chiedeva quindi il recupero dell’intero importo sottratto. L’intermediario eccepiva la colpa grave della cliente, che avrebbe collaborato con i truffatori, sostenendo la correttezza dell’enrollment e del login e l’assenza di malfunzionamenti nei propri sistemi.

La motivazione del Collegio

Il Collegio rileva divergenze tra il ricorso e la denuncia circa l’apporto fornito dalla cliente all’autorizzazione delle operazioni. Dal ricorso emergerebbe una mera autorizzazione allo storno; dalla denuncia, invece, l’esecuzione di operazioni sotto dettatura dell’operatore. Tale seconda versione è avallata dall’intermediario, che afferma l’esecuzione materiale da parte della cliente con il medesimo device dell’enrollment.

Da ciò potrebbe derivare l’esonero dell’intermediario dalla verifica della SCA. Tuttavia, mancando una descrizione precisa e univoca delle modalità dispositive, il Collegio ritiene di dover appurare se vi sia stato un contributo causale del truffatore e se l’intermediario abbia fornito la prova dell’autenticazione ai sensi del D.Lgs. 11/2010. Il concorso causale parziale dell’utente non vale, di per sé, a qualificare la transazione come autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso.

Il Collegio richiama il quadro normativo: gli artt. 97 e 98 PSD2, l’art. 10-bis D.Lgs. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA. La prova di autenticazione è prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa grave. La SCA richiede almeno due dei tre fattori — conoscenza, inerenza, possesso — reciprocamente indipendenti. I log e gli elementi esplicativi del PSP possono integrare la prova, purché consentano di verificare i singoli passaggi.

Dai log risulta che le cinque operazioni non rimborsate furono autorizzate con un fattore di conoscenza (codice PID) e uno di possesso (device associato). Ciò non basta: il Collegio ravvisa gli indici di anomalia del D.M. 112/2007, ossia sette o più richieste di autorizzazione sulla stessa carta nelle 24 ore e tre o più presso il medesimo punto vendita. Le ultime cinque operazioni erano effettuate presso il medesimo beneficiario Google. Avrebbero dovuto attivare gli indici le ultime tre da € 263,75, per un totale di € 791,00, importo che l’intermediario è tenuto a corrispondere.