Bonifico istantaneo disconosciuto: onere della prova SCA e colpa grave del cliente (ABF Collegio di Palermo n. 4277 del 12.05.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione nonché il comportamento gravemente colposo dell’utilizzatore. La prova dell’autenticazione forte costituisce antecedente logico rispetto alla prova della colpa grave del cliente. Ai fini della strong customer authentication il PSP può avvalersi, oltre che dei log, della legenda esplicativa e delle difese in relazione al caso concreto, purché consentano di verificare i singoli passaggi registrati. Nel caso di spoofing, la mancata allegazione del messaggio civetta determina il rigetto del ricorso, non essendo verificabile l’affidamento dell’utente sulla genuinità del messaggio.

Il Fatto

Il ricorrente chiede la restituzione di euro 600,00, importo di un bonifico istantaneo eseguito il 01.12.2025 e da lui disconosciuto, assumendo di essere stato vittima di una truffa di tipo smishing/vishing. Sostiene che, ai sensi del d.lgs. 11/2010 attuativo della direttiva PSD2, l’intermediario debba rimborsare le operazioni non autorizzate salvo prova del dolo o della colpa grave del cliente.

L’intermediario eccepisce che la ricostruzione del ricorrente è parziale e approssimativa, che non è stata prodotta copia dell’SMS ricevuto e che l’operazione è stata correttamente autenticata mediante l’APP dell’intermediario, con sistema conforme alla SCA. Nelle repliche il ricorrente produce l’evidenza della chiamata ricevuta dal frodatore e rappresenta di essersi attivato subito per bloccare il prelievo.

La motivazione del Collegio

Il Collegio ricorda che ai sensi dell’art. 10 del d.lgs. 11/2010 il PSP deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e il comportamento gravemente colposo o doloso dell’utilizzatore. Secondo gli orientamenti condivisi dei Collegi, la prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave.

Quanto ai requisiti della SCA, il Collegio richiama gli artt. 97 e 98 della PSD2, l’art. 10-bis del d.lgs. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi dell’EBA. L’autenticazione forte richiede almeno due dei tre fattori — conoscenza, possesso, inerenza — reciprocamente indipendenti e appartenenti a categorie diverse. Il PIN costituisce elemento di conoscenza, mentre la securecall sul numero certificato del cliente è fattore di possesso, come affermato dai Collegi di Bologna n. 4737/2024 e di Milano n. 12602/2024.

Il Collegio richiama anche il Collegio di Coordinamento n. 21285/21, secondo cui devono essere presidiate dalla autenticazione forte non solo le operazioni dispositive ma anche quelle idonee a incidere sulla sicurezza dello strumento, come la modifica o l’aggiunta di un device. L’enrollment dell’app sul dispositivo del ricorrente risulta avvenuto il 27.09.2025, circa due mesi prima della truffa, e costituisce antecedente necessario della vicenda.

Sulla base del log antifrode, del log autorizzativo con legenda e della securecall, il Collegio ritiene provato che l’operazione sia stata eseguita mediante inserimento del PIN sull’app installata sul device riconosciuto. Poiché la PSD2 è tecnologicamente neutrale e non impone un sistema standard di tracciatura, i Collegi ammettono la valutazione di elementi esplicativi ulteriori, come la legenda e le difese del PSP, ove consentano di verificare i passaggi registrati. Il Collegio richiama in tal senso le decisioni del Collegio di Torino n. 4753/2025 e n. 3898/2023, quest’ultima con rinvio al Collegio di Bologna n. 13422/2022.

Quanto alla colpa grave, il ricorrente afferma di aver ricevuto un SMS fraudolento riconducibile a spoofing, ma non ne produce evidenza. Secondo le posizioni dei Collegi, la mancata allegazione del messaggio civetta impedisce di verificare la riconducibilità del mittente all’intermediario e il legittimo affidamento dell’utente. Il Collegio, pertanto, non accoglie il ricorso.