Spoofing e vishing, SCA provata: colpa grave del cliente per SMS inattendibili (ABF Collegio di Milano n. 790 del 28.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’intermediario deve provare l’autenticazione forte (SCA) in tutte le fasi dell’operazione — accesso all’applicazione ed esecuzione del singolo pagamento — e i fatti idonei a integrare la colpa grave dell’utilizzatore. Se il concorso causale dell’utente in fase dispositiva o autorizzativa è solo parziale, per esempio con l’inserimento di uno dei fattori di autenticazione, la transazione non è per ciò solo autorizzata e l’esame della prova della SCA resta dovuto. Dimostrata la SCA, il rimborso è escluso quando il cliente abbia prestato fede a messaggi palesemente inattendibili per errori grammaticali e lessicali e abbia comunicato al sedicente operatore, sia pure in parte, il codice di sicurezza personale.

Il Fatto

La ricorrente riceve un SMS che segnala un accesso anomalo al proprio home banking da dispositivo sconosciuto e la invita a cliccare un link, al quale non dà seguito. Circa un’ora dopo viene contattata da un numero apparentemente riconducibile all’intermediario: un sedicente operatore del reparto frodi le rappresenta un tentativo di bonifico istantaneo di € 1.486,00 da Lugano e le chiede il PIN di accesso per procedere allo storno. La ricorrente fornisce le prime cifre del codice; la linea cade, l’APP resta inaccessibile e, dopo la riattivazione del servizio, la cliente constata l’esecuzione del bonifico irrevocabile, disposto alle ore 17:36.

Seguono il disconoscimento formale, la denuncia alle Autorità e il reclamo, respinto dall’intermediario. La ricorrente chiede quindi il rimborso di € 1.486,00, escludendo dolo e colpa grave a proprio carico. L’intermediario eccepisce la regolarità dell’operazione, autenticata con credenziali univoche e senza anomalie tecniche, e invoca la colpa grave della cliente per non aver riconosciuto l’inattendibilità dei messaggi fraudolenti; conferma di aver attivato la procedura di richiamo del bonifico, con esito negativo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel D.lgs. 27/01/2010 n. 11 e nel Provvedimento attuativo della Banca d’Italia del 05.07.2011, soffermandosi sui due passaggi ineludibili in tema di strong customer authentication. Sul piano probatorio spetta all’intermediario dimostrare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute, nonché l’insussistenza di malfunzionamenti. La SCA è richiesta sia nell’accesso al conto e nell’enrollment dell’applicazione, sia nell’esecuzione delle singole operazioni, e si realizza con almeno due dei tre fattori — conoscenza, inerenza, possesso — reciprocamente indipendenti e appartenenti a categorie diverse.

Il secondo onere riguarda la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui lo stesso sopporta le conseguenze dell’utilizzo fraudolento dello strumento di pagamento. Il Collegio richiama l’orientamento arbitrale secondo cui la negligenza del cliente rileva solo quando l’intermediario abbia dato prova piena della scrupolosa osservanza del sistema di SCA e della predisposizione di congegni di alert. Se il concorso causale dell’utente è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento.

Su queste basi il Collegio osserva che la ricorrente ha dato un contributo causale parziale, dettando al truffatore le prime cifre del PIN, e che quindi non può esimersi dall’esaminare la prova dell’autenticazione forte, richiamando le decisioni del Collegio di Milano n. 8778/2025 e n. 8764/2025. Dall’esame dei log risulta un accesso alle 17:28 tramite APP su dispositivo associato alla cliente (fattore di possesso) e autorizzazione mediante fattore biometrico (fattore di inerenza), oltre a tentativi falliti di accesso per PIN errato da un diverso dispositivo. Anche il bonifico risulta autenticato alle 17:36 con APP mobile e fattore biometrico.

Ritenuta provata la SCA in tutti i passaggi, il Collegio passa alla colpa. Il messaggio civetta contiene errori grammaticali, lessicali e di punteggiatura, e analoghi difetti presentano i successivi messaggi dei truffatori: il loro tenore costituisce indice di evidente inattendibilità e anomalia, idoneo ad allertare l’utente. La cliente, inoltre, ha comunicato al frodatore il proprio codice di sicurezza, sia pure parzialmente. Ne deduce la sussistenza della colpa grave e, per l’effetto, non accoglie il ricorso.