Bonifico disconosciuto e autenticazione forte: il cliente deve allegare la frode (ABF Collegio di Roma n. 1020 del 04.02.2026)

Principi di diritto (Massima)
In tema di disconoscimento di un bonifico, l’intermediario che documenta l’esecuzione dell’operazione mediante autenticazione forte del cliente, con inserimento delle credenziali statiche e dinamiche e generazione dei codici OTP, non è tenuto alla restituzione delle somme. Il sistema di autenticazione conforme alla strong customer authentication produce la prova dell’avvenuta autorizzazione. Sul ricorrente grava un onere di allegazione delle circostanze idonee a offrire una attendibile ipotesi alternativa rispetto all’utilizzo imputabile, direttamente o per colpa grave, al titolare. La carenza di tali allegazioni consente al Collegio di desumere la colpa grave del cliente. L’assenza di indici di anomalia della disposizione, valutata anche in relazione alla prassi operativa dell’impresa, esclude la responsabilità dell’intermediario.

Il Fatto

La ricorrente, società titolare di un conto corrente acceso presso la resistente, ha convenuto l’intermediario davanti all’Arbitro Bancario Finanziario chiedendo la restituzione di Euro 19.340,00, importo di un bonifico disconosciuto. Secondo la ricorrente, l’addebito sarebbe emerso il 6 giugno 2025, a fronte di un’operazione eseguita il giorno precedente e destinata a un soggetto sconosciuto.

La società ha sostenuto di non aver mai inserito credenziali su siti sospetti, di non aver risposto a comunicazioni fraudolente e di aver sempre custodito il token assegnato dalla banca. Da qui l’addebito alla resistente di non aver predisposto sistemi di sicurezza adeguati e di non aver rilevato l’anomalia di un’operazione estranea alla prassi aziendale, caratterizzata da pagamenti di importo modesto verso beneficiari ricorrenti. La resistente ha replicato che l’operazione si era svolta secondo i protocolli, con alert SMS al numero certificato e attivazione tempestiva della procedura di recall interbancaria, rimasta senza esito.

La motivazione del Collegio

Il Collegio osserva anzitutto che i fatti ricadono nell’ambito del d.lgs. n. 11/2010, nella versione modificata dal d.lgs. n. 218/2017 di recepimento della PSD2. La resistente ha prodotto i log che documentano l’inserimento, da parte della ricorrente, delle credenziali di accesso, del codice OTP e del codice generato all’interno della banca multicanale e collegato univocamente all’operazione. La procedura autorizzativa risulta pertanto conforme ai requisiti della strong customer authentication, come già affermato in un caso simile dal Collegio di Roma, decisione n. 17867/2025.

Il punto decisivo, per il Collegio, è però un altro: dagli atti non emerge alcuna effettiva descrizione della supposta truffa patita dalla ricorrente. Il Collegio riconosce in capo al ricorrente non un onere probatorio in senso proprio, che la legge ribalta sull’intermediario, quanto piuttosto un onere di allegazione delle circostanze capaci di offrire, al minimo, una attendibile ipotesi alternativa rispetto a quella dell’utilizzo imputabile al titolare (Collegio di Roma, decisione n. 10723/2019). In caso di disconoscimento, è onere del ricorrente fornire elementi utili a provare che l’operazione sia stata realmente fraudolenta (Collegio di Roma, decisione n. 299/2020).

Le mancate allegazioni del cliente sulle circostanze di fatto della frode costituiscono un elemento da cui il Collegio trae il proprio convincimento, insieme ad altre circostanze, circa la colpa grave, quando l’intermediario abbia offerto la prova dell’autenticazione. Viene richiamato sul punto Collegio di Roma, decisione n. 8058/2022, secondo cui, in assenza di elementi idonei a contestualizzare l’evento truffaldino, la richiesta restitutoria va respinta, desumendone la colpa grave (così già decisione n. 23474/2021).

Il Collegio esamina poi il profilo dell’irrevocabilità dell’ordine di pagamento, che gli artt. 5, co. 4, e 17, co. 1 e 5, d.lgs. n. 11/2010 collocano al momento in cui l’ordine giunge al prestatore di servizi di pagamento del pagatore. La ricorrente si è accorta dell’addebito solo il giorno successivo, quando l’operazione era divenuta irrevocabile e restava esperibile soltanto la procedura interbancaria di recall, attivata e rimasta senza esito. L’alert SMS è stato regolarmente inviato.

Quanto all’asserita anomalia dell’operazione, il Collegio ricorda che gli indici di sospetto del D.M. 112/2017 costituiscono un elenco esemplificativo, ma nel caso di specie non ne risultano. L’importo è consistente rispetto all’uso e la ricorrente opera ordinariamente verso persone fisiche; la disposizione non è però eccezionale, provenendo da un’impresa, né sufficientemente anomala da fondare un legittimo sospetto. Il ricorso è pertanto respinto.