Autenticazione forte provata e mancate allegazioni del cliente integrano la colpa grave (ABF Collegio di Torino n. 369 del 16.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario assolve l’onere probatorio di cui all’art. 10 d.lgs. n. 11/2010 quando dimostra, con log informatici e legende esplicative, che le disposizioni sono state autenticate, correttamente registrate e contabilizzate e che il sistema è conforme alla Strong Customer Authentication. La prova della colpa grave dell’utilizzatore può essere fornita anche per presunzioni, ai sensi dell’art. 2729 c.c., e concorre a integrarla la mancata allegazione, da parte del cliente, delle circostanze di fatto della frode asserita, quando l’autenticazione sia provata, il sistema risulti conforme alla normativa e non emergano indici di anomalia delle operazioni.

Il Fatto

La ricorrente chiede all’ABF il rimborso di € 20.900,00 corrispondenti a tre bonifici istantanei eseguiti il 14 maggio 2025 dal conto deposito verso un unico iban, oltre a un indennizzo equitativo di € 5.000,00, interessi legali e rivalutazione. Sostiene che le operazioni siano state compiute a causa del blocco dell’app installata sul cellulare, anche per la migrazione dalla vecchia alla nuova applicazione della banca, e che gravi falle nei sistemi di sicurezza dell’intermediario abbiano favorito la frode. Nelle repliche qualifica la vicenda come fenomeno di Man In The Middle, con sfruttamento di una finestra di vulnerabilità nella fase di installazione e reindirizzamento della sessione verso un proxy malevolo.

L’intermediario resiste e chiede il rigetto. Eccepisce la genericità della ricostruzione offerta dalla ricorrente, afferma di aver adottato un sistema di autenticazione forte per l’accesso e per l’autorizzazione delle disposizioni nel rispetto della PSD2 e contesta il comportamento gravemente colposo del cliente nella custodia delle credenziali.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando gli artt. 97 e 98 della PSD2, gli artt. 10 e 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA. Da tale cornice ricava il doppio onere dell’intermediario: provare l’autenticazione, la registrazione e la contabilizzazione delle operazioni, senza malfunzionamenti, e provare l’eventuale frode, dolo o colpa grave dell’utente.

Sul primo versante l’intermediario produce evidenze documentali e log informatici che dimostrano l’accesso all’area riservata tramite app installata su un nuovo dispositivo, previo inserimento del codice cliente, della data di nascita, di tre cifre del PIN e dell’OTP inviato via sms, e l’autorizzazione dei bonifici mediante digitazione del codice segreto sul telefono, quale elemento di possesso unito all’elemento di conoscenza. Il Collegio ritiene pertanto assolto l’onere probatorio in ordine all’adozione delle prescrizioni sulla Strong Customer Authentication.

Passando al secondo profilo, il Collegio richiama l’orientamento del Collegio di Coordinamento n. 22745 del 10 ottobre 2019: la produzione documentale sull’autenticazione e sulla formale regolarità dell’operazione non basta, dovendo l’intermediario indicare specificamente gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la colpa grave. Richiama anche la decisione n. 24366/19, secondo cui non ogni contegno imprudente integra tale grado di colpa, ma solo quello abnorme e inescusabile, valutato alla luce di tutte le circostanze e degli obblighi di custodia dello strumento e di memorizzazione del codice, nonché la decisione n. 5304/2013. La prova può essere data anche per presunzioni gravi, precise e concordanti ex art. 2729 c.c.

Nel caso concreto, osserva il Collegio, la ricorrente non ha fornito elementi utili alla ricostruzione della frode, né in sede di denuncia né in sede di ricorso. Non è dato sapere se le operazioni siano scaturite da phishing o fenomeni simili; non sono state prodotte evidenze dell’asserita intrusione di terzi nei sistemi comunicativi tra cliente e banca. Secondo l’orientamento condiviso dei Collegi, le mancate allegazioni del cliente sulle circostanze della frode costituiscono un elemento di convincimento circa la colpa grave, purché l’intermediario abbia provato l’autenticazione, il sistema sia conforme alla SCA e non emergano indici di anomalia delle operazioni.

Ricorrendo tutte queste circostanze, il Collegio ritiene il comportamento della ricorrente gravemente colposo e non accoglie il ricorso, con rigetto delle ulteriori domande conseguenti e accessorie.