Frodi bancarie e autenticazione forte: banca soccombe senza prova della SCA (ABF Collegio di Milano n. 2383 del 17.03.2026)

Principi di diritto (Massima)
Nelle controversie relative a operazioni di pagamento disconosciute, l’intermediario che invoca l’autenticazione forte ai sensi dell’art. 10-bis del d.lgs. n. 11/2010 e del Regolamento Delegato Ue 2018/389 deve fornire prova documentale del corretto esperimento della strong customer authentication in tutte le fasi dell’operazione, a partire dall’accesso al sistema. La mancanza, anche parziale, di tale prova è dirimente e costituisce un prius logico rispetto alla valutazione della colpa grave del cliente. Ove la banca non assolva l’onere probatorio, il diritto al rimborso del controvalore delle operazioni è riconosciuto. La domanda risarcitoria, invece, richiede la prova del pregiudizio e di una condotta gravemente scorretta dell’intermediario.

Il Fatto

Il ricorrente deduce che tra il 1° e l’8 aprile 2025 siano stati eseguiti sul suo conto corrente sei bonifici, tre dei quali esteri, per complessivi euro 148.081,57, oltre a euro 128,77 di commissioni. Sostiene di essersi avveduto delle operazioni solo il 10 aprile 2025, ricevuta la contabile inviata per posta, e di aver quindi bloccato il conto e presentato denuncia. Chiede la restituzione dell’importo e il risarcimento dei danni, comprese le spese di assistenza difensiva.

L’intermediario resiste, sostenendo che le operazioni fossero state autorizzate mediante doppio fattore di autenticazione e che il cliente avesse tenuto una condotta gravemente negligente, confermando telefonicamente alcune operazioni e denunciando i fatti con ritardo. In subordine invoca il concorso di colpa ex art. 1227 cod. civ. Il ricorrente replica ricostruendo una frode basata sull’associazione di un nuovo dispositivo, sul cambio di operatore telefonico e sull’uso delle credenziali da parte di terzi.

La motivazione del Collegio

In via preliminare il Collegio dichiara inammissibili le domande di rivalutazione monetaria e interessi legali formulate solo in sede di repliche. Le Disposizioni della Banca d’Italia (Sez. VI) precludono l’ampliamento della domanda iniziale, e il consolidato orientamento dei Collegi qualifica tali modifiche come mutatio libelli.

Nel merito, il Collegio ricostruisce il quadro normativo: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, distribuisce gli oneri probatori in modo differenziato in caso di disconoscimento. La responsabilità degli utilizzi fraudolenti ricade sull’impresa, salvo frode, dolo o colpa grave del cliente.

La questione decisiva riguarda la prova dell’autenticazione. La banca descrive un articolato processo di associazione di un nuovo token virtuale, ma dai log versati in atti non emerge evidenza dell’inserimento del PIN, né della e-mail contenente il primo codice di attivazione, né della disinstallazione del precedente token. Il riferimento a “activation data” e “validated” non è sufficiente a dimostrare l’uso del secondo fattore.

Anche per la fase di accesso e per l’autorizzazione delle singole operazioni manca la prova documentale dell’utilizzo del fattore di possesso. La mancanza anche parziale della prova dei presidi di sicurezza è risolutiva e dirimente: costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa del cliente (cfr. Coll. coord. n. 22745/2019). Il ricorrente ha quindi diritto al rimborso.

La domanda risarcitoria è invece respinta. Il danno patrimoniale e non patrimoniale deve essere provato dal cliente, non essendo la sua sussistenza in re ipsa (cfr. Coll. coord. n. 1642/2019). Quanto alle spese di assistenza difensiva, occorre la prova di un illecito consistente in un comportamento gravemente scorretto o dilatorio dell’intermediario (cfr. Coll. coord. n. 4580/2025). I disagi e i fastidi della vita quotidiana non sono risarcibili (cfr. Cass. Sez. un. n. 26972/2008). Il Collegio accoglie parzialmente il ricorso e dispone il pagamento di euro 148.210,00, oltre al contributo di euro 200,00 alla Banca d’Italia e al rimborso di euro 20,00.