Autenticazione forte e onere di allegazione del cliente sui bonifici disconosciuti (ABF Collegio di Roma n. 2883 del 31.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, ai sensi dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 in recepimento della PSD 2, grava sul prestatore di servizi di pagamento l’onere di dimostrare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata. Tale onere è assolto quando l’intermediario provi che l’operazione è stata eseguita con autenticazione forte a due fattori (SCA) mediante il device abituale del cliente, in assenza di malfunzionamenti del sistema. A fronte di un disconoscimento generico, il ricorrente ha l’onere di allegazione di circostanze che offrano almeno un’ipotesi alternativa attendibile rispetto a quella dell’utilizzo a lui imputabile, direttamente o per colpa grave.

Il Fatto

Il ricorrente, titolare di un conto presso l’intermediario resistente, riferisce di essersi accorto che tra il 23 aprile e il 30 maggio 2025 erano stati eseguiti numerosi bonifici non autorizzati verso un IBAN collegato a un conto acceso presso un altro intermediario. Sostiene di non aver fornito le proprie credenziali a nessuno, di aver sempre mantenuto il dispositivo in suo possesso e di non aver mai ricevuto sms alert. Ritiene inoltre che l’intermediario avrebbe dovuto rilevare l’anomalia delle operazioni e che l’applicazione possa aver generato per errore i bonifici.

Chiede il rimborso delle somme corrispondenti ai bonifici disconosciuti e di un ulteriore bonifico di 300 euro disposto per errore. L’intermediario resiste, eccependo che le operazioni risultano correttamente autenticate con autenticazione forte a due fattori, che erano state attivate la biometria e la Conferma con Token sul device abituale del cliente e che nel medesimo periodo erano stati eseguiti altri bonifici non contestati con le stesse modalità.

La motivazione del Collegio

Il Collegio esamina anzitutto il bonifico di 300 euro del 30 maggio 2025, che lo stesso ricorrente ha dichiarato di aver disposto tramite la funzione “ripeti bonifico” credendo di versare a favore di un proprio conto. Richiamando l’art. 24 del d.lgs. n. 11/2010, il Collegio ribadisce che il prestatore non è tenuto ad alcun controllo sulla conformità tra IBAN e beneficiario indicato, essendo sufficiente che l’operazione sia eseguita secondo l’identificativo unico fornito dal pagatore.

Quanto alle restanti operazioni, il Collegio verifica la conformità del sistema di autenticazione. L’intermediario ha prodotto i log dai quali emerge che gli accessi sono avvenuti tramite riconoscimento biometrico e che i bonifici sono stati autorizzati con Conferma con Token, sempre sullo stesso device, già utilizzato per operazioni precedenti e non contestate. L’attivazione degli strumenti era avvenuta mediante username, password e OTP. Il Collegio ritiene pertanto il sistema conforme alla SCA prevista dalla PSD 2.

Il Collegio rileva poi che il ricorrente si limita a disconoscere i bonifici senza descrivere la possibile truffa. Osserva che, in presenza di operazioni disconosciute intervallate da operazioni autorizzate, l’impugnazione selettiva di alcune sole operazioni – con implicito riconoscimento delle altre – delinea un quadro presuntivo, incerto e contraddittorio, incompatibile con una frode. Rileva inoltre l’omesso controllo della movimentazione per un periodo significativo, elemento valutabile ai fini della colpa grave, e la circostanza che l’intermediario aveva inviato notifiche push ed email.

Il Collegio, pur ribadendo che l’onere della prova grava sull’intermediario, afferma che sul ricorrente incombe un onere di allegazione di circostanze idonee a offrire un’ipotesi alternativa attendibile rispetto a quella dell’utilizzo a lui imputabile. Poiché l’intermediario ha dimostrato la corretta autenticazione delle operazioni secondo gli standard di sicurezza, senza malfunzionamenti, e non emergono elementi di responsabilità a suo carico, il ricorso è respinto.