Truffa website spoofing e colpa grave del titolare della carta con SCA (ABF Collegio di Milano n. 4949 del 03.06.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento online, quando il contributo causale dell’utente in fase autorizzativa è solo parziale, la transazione non può intendersi autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010, restando ferma la necessità che il consenso sia prestato nella forma convenuta tra le parti. Accertata la strong customer authentication mediante combinazione di fattore biometrico e OTP dinamico, documentata dai log di sistema, il ricorso va respinto per colpa grave del titolare ai sensi dell’art. 10 del D.Lgs. n. 11/2010, quando la notifica push e l’SMS alert rechino tipologia, importo e beneficiario e la vicenda narrata dall’interlocutore sia priva di credibilità, rientrando nello schema noto del website spoofing. L’impiego di ordinaria diligenza avrebbe consentito di riconoscere la truffa.

Il Fatto

La ricorrente si collegava a un sito per pubblicare un annuncio e veniva contattata via chat da un sedicente operatore che le chiedeva i dati della carta di credito e del bancomat per effettuare prelievi di € 340,00 su ciascuna carta, che le sarebbero stati restituiti a conferma dell’iscrizione. Trascorsa circa mezz’ora senza restituzione, comprendeva di essere stata truffata, sporgeva denuncia e avviava la procedura di disconoscimento, conclusa negativamente dall’intermediario. Chiedeva il risarcimento dell’intero importo.

L’intermediario eccepiva che in data 15.01.2026 erano stati eseguiti due pagamenti online di € 340,00 ciascuno, uno con carta di debito alle ore 10:46 e uno con carta di credito alle ore 11:03, per complessivi € 680,00. Sosteneva l’autorizzazione delle operazioni ai sensi dell’art. 5 del D.Lgs. n. 11/2010, l’autenticazione mediante OTP dinamico generato da fattore biometrico sul device abituale, la presenza di push notification parlante e di SMS alert, e chiedeva il rigetto.

La motivazione del Collegio

In via preliminare, il Collegio ha ritenuto il modulo di disconoscimento compilato sulla modulistica dell’intermediario equiparabile al reclamo preventivo ai fini della procedibilità del ricorso, richiamando propri precedenti (Collegio di Milano, decisioni n. 2614/2023 e n. 15485/2022).

Nel merito, la ricorrente aveva dichiarato nel modulo di non aver disposto le operazioni pur avendo le carte in proprio possesso, ma nel ricorso aveva ammesso di aver fornito i dati e di aver autorizzato i prelievi su istruzione dell’operatore via chat. Il contributo della cliente in fase autorizzativa è pertanto parziale. Secondo l’orientamento consolidato dei Collegi, richiamato nella decisione n. 4601/2024, in tal caso la transazione non è autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010. Il Collegio è quindi passato all’esame della prova di autenticazione ai sensi degli artt. 10 e 10-bis del D.Lgs. n. 11/2010.

L’intermediario ha documentato che entrambe le operazioni sono state autenticate mediante combinazione di fattore biometrico (inerenza, “authType”: “TOUCH”) e OTP dinamico generato dall’applicazione installata sul device identificato da codice univoco, corrispondente allo smartphone iOS abitualmente utilizzato dalla cliente. I log consentivano di verificare i singoli passaggi dell’autenticazione per ciascuna operazione. Il Collegio ha pertanto ritenuto raggiunta la prova della SCA.

Accertata la SCA, il Collegio ha valutato la colpa grave ai sensi dell’art. 10 del D.Lgs. n. 11/2010 (Coll. Coord. n. 22745/2019). La push notification era parlante, con tipologia, importo e beneficiario; per la seconda operazione era stato inviato un SMS alert con importo, carta e beneficiario. La storia del sedicente operatore era priva di credibilità. La fattispecie rientra nello schema tipico del website spoofing, rispetto al quale l’ordinaria diligenza avrebbe consentito di riconoscere la truffa. Il Collegio ha quindi ravvisato la colpa grave e, non emergendo dal racconto della ricorrente altri elementi, ha respinto il ricorso.