La decisione in commento trae origine da un ricorso proposto da una correntista, vittima di una frode, meglio nota come phishing. La ricorrente, dopo aver ricevuto un SMS contenente un link apparentemente proveniente dalla banca, riferiva di aver cliccato sullo stesso; che, immediatamente veniva contattata telefonicamente da un sedicente operatore bancario, il quale iniziava a inviarle notifiche push sull’app della banca e, dopo aver seguito i passaggi indicati dal sedicente operatore, scopriva che il saldo del conto era stato sottratto mediante un’operazione POS che sosteneva di non aver autorizzato.
Decisione ABF – Collegio di Torino, n. 2715 del 26 marzo 2026
Il quadro normativo: PSD2 e D.Lgs. 11/2010
La fattispecie sottoposta all’attenzione dell’ABF viene ricondotta entro il perimetro di operatività del D. Lgs. 27 gennaio 2010, n. 11, come modificato dal D. Lgs. 15 dicembre 2017, n. 218, di recepimento della Direttiva (UE) 2015/2366 (PSD2).
In particolare, l’art. 10 del D. Lgs. 11/2010 delinea un regime probatorio strutturato a favore dell’utente, imponendo al Prestatore di Servizi di Pagamento (PSP) una sequenza logica e graduata di oneri dimostrativi: innanzitutto la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione, nonché dell’assenza di malfunzionamenti; poi, la prova del comportamento gravemente colposo, fraudolento o doloso dell’utilizzatore.
La prova dell’autenticazione forte mediante SCA
Nel caso di specie, l’Arbitro ha ritenuto che la Banca avesse assolto all’onere sulla stessa gravante di provare l’autenticazione dell’operazione mediante SCA (mediante produzione dei log). Quanto alla colpa grave dell’Utente, il Collegio la riconosceva, attribuendo rilevanza al comportamento gravemente colposo della ricorrente, la quale aveva pedissequamente eseguito le istruzioni indicate da un sedicente operatore, precedute da un messaggio ricevuto sul suo device, caratterizzato da palese inattendibilità e non proveniente da utenze riconducibili all’intermediario.
In tale prospettiva, dunque, il Collegio ha escluso che potesse essere imputata alla Banca resistente la responsabilità in ordine all’operazione fraudolenta lamentata dalla ricorrente, così respingendo il ricorso.
SCA come criterio di ripartizione del rischio
La decisione è di particolare rilievo in quanto conferma la centralità della SCA come spartiacque nella ripartizione del rischio tra PSP e utente: una volta provata l’autenticazione forte, il sistema normativo presume che l’operazione sia riconducibile alla sfera dell’utente, salvo prova contraria di malfunzionamenti o condotte corresponsabili dell’intermediario. Ribadisce che la documentazione tecnica prodotta dall’intermediario — log di sistema, dati di enrollment, tracce biometriche — costituisce prova idonea e sufficiente ai fini dell’art. 10, respingendo l’argomento della ricorrente secondo cui tale documentazione sarebbe inidonea a dimostrare l’autorizzazione “sostanziale” dell’operazione.
In secondo luogo, la pronuncia affronta il tema — sempre più attuale — del social engineering evoluto, in cui il truffatore non sottrae direttamente le credenziali ma induce la vittima ad autorizzare autonomamente l’operazione fraudolenta; una cooperazione dell’utente che, in molti casi, appare determinante ai fini del verificarsi del danno.
25.08.2026
