Vishing e autorizzazione del bonifico disposto personalmente dal cliente (ABF Collegio di Milano n. 5142 del 05.06.2026)

Principi di diritto (Massima)
L’operazione di pagamento eseguita personalmente dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, è autorizzata anche quando il consenso sia stato viziato dal dolo del frodatore, e non ricade quindi nella disciplina delle operazioni non autorizzate di cui al d.lgs. n. 11/2010. Resta salva la verifica di eventuali profili di responsabilità dell’intermediario sul versante degli obblighi di protezione. Per le operazioni eseguite tramite carta di debito l’intermediario deve provare l’autenticazione forte del cliente: se l’esecuzione si fonda su due fattori della stessa natura di possesso, la SCA non è provata e l’operazione va rimborsata, senza che possa trovare ingresso la prova della colpa grave dell’utente.

Il Fatto

Il ricorrente riferisce di avere ricevuto una telefonata da un numero riconducibile all’intermediario, con cui un sedicente operatore segnalava transazioni sospette in home banking. Interrotta la comunicazione e richiamato il numero ufficiale, riceveva una seconda chiamata e, poco dopo, un contatto da un’utenza attribuita al Comando dei Carabinieri, con conferma delle asserite anomalie e invito a seguire le istruzioni dell’operatore.

Venivano quindi eseguite due operazioni dell’importo di € 4.900,00 ciascuna: un addebito su carta di debito e un bonifico istantaneo a favore di un conto acceso presso altro intermediario. Presentata denuncia e reclamo, riscontrato negativamente, il cliente chiedeva la restituzione di € 9.800,00. L’intermediario eccepiva l’avvenuta autenticazione in-APP con dispositivo in possesso del cliente e la colpa grave dello stesso, che aveva alimentato il conto con quindici bonifici da € 990,00 per complessivi € 14.850,00 prima di disporre i pagamenti contestati.

La motivazione del Collegio

Il Collegio muove dalla distinzione tra le due operazioni. Quanto al bonifico, la denuncia versata in atti contiene la dichiarazione del cliente di avere eseguito personalmente l’operazione delle ore 19.06. Da ciò deriva il carattere autorizzato del pagamento: la disposizione è stata impartita dal titolare dello strumento con l’impiego di tutti i fattori di autenticazione, senza che l’intermediario avesse alcuna possibilità di percepire il raggiro.

Il Collegio richiama l’interpretazione consolidata dei Collegi territoriali, secondo cui l’art. 5 del d.lgs. n. 11/2010 sul consenso del pagatore, letto con i successivi artt. 9 e 10, induce a ritenere autorizzata l’operazione eseguita personalmente dal cliente ancorché il consenso sia corrotto dal dolo del frodatore. La circostanza che la volontà sia stata viziata dal raggiro non trasferisce l’operazione nell’area della non autorizzazione. Resta ferma la possibilità di individuare altri profili di responsabilità, segnatamente sul versante degli obblighi di protezione gravanti sull’intermediario per diritto comune: profili che, nella specie, non ricorrono. La domanda restitutoria sul bonifico è pertanto respinta.

Quanto all’addebito su carta di debito, non assistito da alcuna dichiarazione confessoria, il Collegio applica il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di attuazione della PSD 2. Ai sensi dell’art. 10, comma 1, l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata grava sul prestatore di servizi di pagamento. L’assolvimento di tale onere è necessario ma non sufficiente, dovendo l’intermediario provare anche il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745/2019: la produzione documentale sulla regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio, occorrendo elementi di fatto sulle modalità esecutive dai quali trarre la prova presuntiva della colpa grave. Nel caso concreto, i log attestano per l’accesso all’APP un fattore di conoscenza e uno di possesso; per l’esecuzione dell’operazione, invece, risultano impiegati due fattori della medesima natura di possesso, la push notification e il device, senza traccia di fattori di altro tipo. La SCA non può quindi reputarsi provata.

Il difetto di piena prova sull’autenticazione assume carattere assorbente: secondo l’orientamento unanime dei Collegi, essa costituisce un prius logico rispetto alla prova della colpa grave dell’utente. Il ricorso è conseguentemente accolto in parte, con condanna dell’intermediario al pagamento di € 4.900,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 delle spese della procedura.