Falso operatore e bonifici da app: autenticazione forte e onere dell’intermediario (ABF Collegio di Bari n. 217 del 13.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, nonché che la patologia non dipende da malfunzionamenti o inconvenienti del sistema. L’utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né la frode, il dolo o la colpa grave dell’utilizzatore. La produzione di log privi di allegazioni specifiche e di legenda esplicativa sui fattori di autenticazione forte non integra la prova richiesta dall’art. 10, comma 2, d.lgs. n. 11/2010, con la conseguenza che l’intermediario è tenuto al rimborso. La prova dell’autenticazione costituisce un prius logico rispetto alla valutazione della colpa grave dell’utente.

Il Fatto

Il ricorrente, titolare di un conto corrente, riferisce di aver ricevuto sul proprio smartphone un SMS apparentemente proveniente dall’intermediario, con l’avviso di un’operazione di pagamento autorizzata e l’invito a contattare un numero telefonico per disconoscerla. Il messaggio si collocava in coda a precedenti comunicazioni genuine. Il cliente chiamava il numero indicato e parlava con un soggetto qualificatosi come operatore, che gli prospettava un tentativo di truffa in corso, la necessità di bloccare il conto e la revoca e lo storno dei movimenti in uscita, inducendolo a eseguire “operazioni inverse”.

Il giorno seguente il ricorrente apprendeva in filiale di essere stato vittima di una truffa: quattro bonifici ordinari, eseguiti tra le 10:57 e le 11:02 del 20 agosto 2024 per complessivi € 9.890,00, risultavano accreditati su un IBAN riferibile a un altro soggetto, sempre presso l’intermediario resistente. Chiedeva quindi il rimborso, sostenendo la responsabilità dell’intermediario per l’inadeguatezza delle misure di sicurezza e del sistema di autenticazione.

La motivazione del Collegio

Il Collegio respinge in via preliminare l’eccezione dell’intermediario secondo cui le operazioni sarebbero state disposte e autorizzate personalmente dal cliente, sia pure a seguito di raggiri, con conseguente inapplicabilità della disciplina sulle operazioni non autorizzate. Il ricorrente, in sede di denuncia, non ha dichiarato espressamente di aver disposto e autorizzato i bonifici, limitandosi a riferire di aver interloquito con il falso operatore e seguito una procedura durata circa due ore.

Richiamato l’orientamento dell’Arbitro, il Collegio ribadisce che l’operazione è autorizzata solo se eseguita per intero dal pagatore con l’inserimento della disposizione e di tutti i fattori di autenticazione. Se il concorso causale dell’utente è parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta.

Nel merito, le operazioni ricadono sotto il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e sotto il Regolamento Delegato (UE) n. 2018/389 in materia di autenticazione forte. Il rischio di utilizzazione fraudolenta grava in prima battuta sull’intermediario, che può sottrarsi al rimborso provando il dolo o la colpa grave dell’utilizzatore. L’art. 10, comma 2, d.lgs. n. 11/2010 precisa che l’uso di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione, e che l’art. 12, comma 2 bis, esclude ogni perdita a carico del pagatore, salvo frode, se manca l’autenticazione forte.

L’intermediario afferma che i bonifici sono stati autorizzati in APP dal dispositivo registrato, elemento di possesso, con inserimento del PIN, elemento di conoscenza. Il Collegio rileva però che i log prodotti non sono accompagnati da allegazioni specifiche sulle stringhe attestanti l’inserimento dei fattori, né da una legenda esplicativa. Dalle evidenze non emerge quale codice attesti univocamente l’uso del dispositivo del cliente, mancano prove sull’enrollment del device e su operatività pregressa non contestata, né constano dichiarazioni confessorie sulla digitazione del PIN. In questa incertezza sull’APP concretamente utilizzata, il Collegio conferma il proprio orientamento e ritiene non assolto l’onere probatorio sull’autenticazione.

La mancanza di tale prova è risolutiva e dirimente, perché la prova di autenticazione è un prius logico rispetto alla colpa grave dell’utente. Ne consegue il riconoscimento del diritto al rimborso di € 9.890,00. È invece rigettata la richiesta di refusione delle spese di lite, priva di quantificazione e di evidenze a supporto.