Truffa sms e bonifici istantanei: no rimborso se operazione autenticata dal cliente (ABF Collegio di Napoli n. 4220 del 12.05.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore e risulta correttamente autenticata secondo la disciplina dell’autenticazione forte, essa deve considerarsi validamente autorizzata e non è soggetta al regime di responsabilità della c.d. PSD2. L’intermediario che abbia adottato modalità di autenticazione conformi alla normativa vigente non risponde della truffa ordita da terzi ai danni del cliente. In capo alla banca non è configurabile un obbligo di monitoraggio delle operazioni, poiché essa non può impedire che il cliente disponga liberamente delle somme disponibili sul presupposto che ogni operazione anomala sia di per sé truffaldina.

Il Fatto

La ricorrente riceveva un sms apparentemente proveniente dall’intermediario resistente, seguito da un’interlocuzione telefonica con una persona che si presentava come incardinata nella struttura della banca. All’esito di tale contatto si avvedeva dell’addebito di due bonifici di euro 1.800/00 e 1.795/00, che prontamente disconosceva. Relativamente a uno di essi recuperava parzialmente l’importo di euro 1.175/50 grazie alla banca del beneficiario.

La ricorrente lamentava l’assenza di appositi presidi di sicurezza e chiedeva il rimborso di euro 2.419/50, al netto del rimborso già ottenuto. L’intermediario resisteva, rilevando che le operazioni erano state eseguite personalmente dalla cliente all’esito dell’interlocuzione con i truffatori, e che risultavano correttamente autenticate in conformità alla normativa applicabile.

La motivazione del Collegio

Il Collegio ritiene decisivo il fatto che le operazioni contestate siano state eseguite personalmente dalla stessa ricorrente. La circostanza emerge dalle dichiarazioni rese in occasione della denuncia presentata alla Pubblica Sicurezza, nelle quali la cliente riferisce di essere stata sostanzialmente “ipnotizzata”.

La conclusione è ulteriormente comprovata dalle evidenze fornite dall’intermediario, dalle quali si evince la corretta autenticazione di tutte le operazioni di pagamento in conformità alla disciplina dell’autenticazione forte. Le modalità adottate dalla banca sono state ritenute conformi alla normativa vigente in numerose decisioni dell’Arbitro, richiamate nel provvedimento.

Sulla base del costante orientamento dell’Arbitro, il Collegio afferma che, quando eseguita per intero dal pagatore, l’operazione deve considerarsi validamente autorizzata e non è quindi soggetta al regime di responsabilità previsto dalla normativa vigente. Il Collegio esclude altresì la pertinenza del precedente citato dalla ricorrente, nel quale l’attività fraudolenta era stata preceduta dall’avvio della procedura di reset della password dell’home banking da web, con conseguente carenza probatoria dell’intermediario.

Nel caso in esame tali elementi non sussistono. L’intermediario ha anzi introdotto un presidio di sicurezza aggiuntivo: un ulteriore codice che appare in video insieme alle informazioni sull’operazione e che collega dinamicamente l’operazione a uno specifico importo e a uno specifico beneficiario. Soluzione ritenuta in linea con la Direttiva (UE) 2015/2366 e con il Regolamento delegato (UE) 2018/389.

Il Collegio ribadisce infine che in capo all’intermediario non è configurabile un obbligo di monitoraggio delle operazioni: un siffatto obbligo si porrebbe in contrasto con l’obiettivo di garantire certezza e celerità dei pagamenti, anche nell’interesse dei consumatori. Il ricorso è pertanto non accolto.