Spoofing e autorizzazione personale escludono PSD2 e colpa dell’intermediario (ABF Collegio di Milano n. 4627 del 22.05.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte personalmente dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, sono autorizzate e restano fuori dall’ambito applicativo della direttiva 2015/2366/EU e del D.lgs. n. 11/2010, anche quando il cliente sia stato indotto in errore da un terzo che si è spacciato per operatore dell’intermediario. In tale ipotesi non opera il regime di responsabilità per le operazioni non autorizzate e non è necessario esaminare il sistema di autenticazione forte del prestatore di servizi di pagamento. Il Collegio verifica comunque, secondo le norme di diritto comune, la colpa grave del cliente e l’eventuale responsabilità concorrente dell’intermediario, alla luce di specifici indici di frode. Integra colpa grave la condotta del cliente che, dopo aver ricevuto notifiche push dell’intermediario, esegua pedissequamente le istruzioni del frodatore senza attivare alcun elementare controllo.

Il Fatto

Il ricorrente riferisce di aver ricevuto, in data 16/12/2025, una chiamata da un numero corrispondente al servizio clienti dell’intermediario. Un sedicente operatore antifrode, a conoscenza dei suoi dati personali, del saldo del conto e dell’indirizzo di residenza, lo avvertiva di accessi sospetti e lo induceva a eseguire tramite App due operazioni di € 80,00 e € 500,00. L’urgenza prospettata e la coincidenza del numero chiamante con quello dell’intermediario convincevano il cliente della genuinità della richiesta.

Accortosi della frode, il ricorrente sporgeva denuncia e presentava reclamo, rimasto senza esito. Chiedeva quindi il rimborso di € 580,00, contestando la colpa grave dell’intermediario e, in subordine, la sua responsabilità per omessa custodia dei dati. L’intermediario eccepiva che le operazioni erano state autorizzate dal cliente, correttamente registrate e autenticate, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio affronta anzitutto la qualificazione delle operazioni. Dalle risultanze in atti emerge che il ricorrente ha ricevuto una notifica nell’App dell’intermediario, seguita da una telefonata proveniente da un numero corrispondente al servizio di blocco carta, e che, seguendo le istruzioni del frodatore, ha personalmente eseguito i due pagamenti contestati.

Poiché le operazioni sono state poste in essere direttamente ed interamente dal pagatore, con inserimento della disposizione di pagamento e di tutti i fattori di autenticazione, esse devono considerarsi autorizzate. Ne deriva l’inapplicabilità del regime di responsabilità per le operazioni non autorizzate previsto dalla PSD2 e dal D.lgs. n. 11/2010, con la conseguenza che il Collegio non procede all’esame del sistema di autenticazione forte dell’intermediario.

Esclusa l’operatività dell’art. 10, D.lgs. n. 11/2010, il Collegio verifica comunque, secondo il diritto comune, la sussistenza di una colpa grave del cliente e di una responsabilità concorrente dell’intermediario. Individua tre indici rilevanti: la mancata disponibilità del numero verde del prestatore di servizi di pagamento; la mancata identificazione del tentativo di frode da parte del dipendente cui il cliente si sia rivolto; il mancato rilievo di indici di frode quando il cliente sia stato indotto a disporre pagamenti nella convinzione di effettuare accrediti.

Nel caso concreto nessuno di tali indici risulta integrato. L’intermediario ha inviato e il device del ricorrente ha ricevuto le notifiche push delle operazioni. Il cliente, tuttavia, ha dato credito alle comunicazioni del frodatore ed ha eseguito pedissequamente le istruzioni ricevute, senza trarre alcun elemento di cautela dalla notifica ricevuta. Tale condotta integra una fattispecie di colpa grave.

Constatata la colpa grave del ricorrente e l’assenza di responsabilità dell’intermediario nella causazione del danno, il Collegio ritiene il ricorso non meritevole di accoglimento.