Truffa telefonica con bonifico istantaneo e colpa grave dell’utente: ricorso infondato (ABF Collegio di Milano n. 5143 del 05.06.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta online è autorizzata quando il pagatore presta il consenso nelle forme tecniche e contrattuali convenute con il prestatore di servizi di pagamento, anche mediante autenticazione forte. Il concorso causale parziale dell’utente nella fase dispositiva o autorizzativa non rende per ciò solo l’operazione non autorizzata, ma impone di verificare la ricorrenza della colpa grave ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010. Il prestatore che abbia provato l’autenticazione, la registrazione e la contabilizzazione è esonerato da responsabilità quando l’uso indebito del dispositivo sia riconducibile a comportamento fraudolento o gravemente colposo dell’utilizzatore. È gravemente colposo l’utente che, dinanzi a un sms civetta con evidenti indici di anomalia, segua le indicazioni di sedicenti operatori e confermi con PIN e notifica push un pagamento istantaneo presentato come necessario a bloccare una frode.

Il Fatto

La ricorrente ha disconosciuto un’operazione di pagamento istantaneo di € 5.000,00 eseguita tramite l’app dell’intermediario il 06.12.2025. Ha riferito di aver ricevuto un sms apparentemente proveniente dalla banca, contenente un numero di telefono; contattato quel numero, ha parlato prima con sedicenti operatori dell’intermediario e poi con sedicenti appartenenti alle forze dell’ordine, che l’hanno indotta a confermare un’operazione asseritamente necessaria a mettere in sicurezza il conto. Ha precisato di non aver comunicato PIN, password o OTP.

L’intermediario ha eccepito che la transazione era stata autenticata in app con autenticazione forte, su dispositivo in possesso esclusivo della cliente, e che questa aveva seguito le istruzioni dei frodatori fino ad autorizzare il pagamento. Ha quindi invocato la colpa grave dell’utente e chiesto il rigetto. In via subordinata la ricorrente ha domandato il rimborso proporzionale, non inferiore al 50% dell’importo.

La motivazione del Collegio

Il Collegio ha anzitutto respinto la tesi dell’intermediario secondo cui il caso sarebbe estraneo al regime di protezione del d.lgs. n. 11/2010. Secondo l’orientamento dei Collegi, se il concorso causale dell’utente è parziale — come l’inserimento di uno dei fattori di autenticazione — la transazione non è per ciò solo autorizzata: la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e prestatore.

Passando alla prova, il Collegio ha applicato gli artt. 97 e 98 PSD2, l’art. 10-bis d.lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389, richiamando la necessità della SCA con almeno due fattori indipendenti tra conoscenza, inerenza e possesso. Ha poi ricostruito il regime probatorio dell’art. 10 d.lgs. n. 11/2010: il prestatore deve dapprima provare autenticazione, corretta registrazione e contabilizzazione; solo in un secondo momento, per esonerarsi, deve dimostrare che l’uso indebito è riconducibile a comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Dalle evidenze prodotte è risultato che il login è avvenuto con credenziali personali e con l’app installata sul dispositivo associato in via esclusiva al conto, e che l’operazione è stata autorizzata con immissione del PIN e convalida della notifica push. L’autenticazione forte è stata dunque provata, con fattori di conoscenza e di possesso distinti e indipendenti.

Il Collegio ha quindi esaminato la condotta della cliente. L’sms civetta presentava plurimi indici di anomalia: la chat non riportava correttamente la denominazione dell’intermediario, mancavano messaggi genuini antecedenti, l’importo era privo di valuta e il numero indicato non era riconducibile al servizio clienti. Anche la chat WhatsApp con i truffatori mostrava messaggi sgrammaticati. Il numero contattato non apparteneva all’intermediario, sicché la fattispecie è stata qualificata come vishing cui la cliente avrebbe potuto sottrarsi con ordinaria diligenza.

Quanto al servizio di sms-alert, la sua mancata attivazione è stata ritenuta irrilevante, perché in presenza di una sola operazione fraudolenta l’alert non avrebbe limitato il pregiudizio. Il Collegio ha infine escluso che rientri nei propri compiti imporre all’intermediario di collaborare con le autorità inquirenti. Il ricorso è stato pertanto respinto.