Disconoscimento bonifico istantaneo, SCA e colpa grave dell’utente per custodia credenziali (ABF Collegio di Bari n. 4178 del 08.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario che dimostri l’avvenuta autenticazione forte dell’operazione, la sua corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti delle procedure è esonerato da responsabilità ai sensi dell’art. 10, comma 1, del d.lgs. n. 11/2010, purché il sistema adottato sia conforme alla Strong Customer Authentication e preveda un’autenticazione a doppio fattore, di possesso e di conoscenza. La colpa grave dell’utente può essere provata anche in via presuntiva, attraverso il combinarsi di più elementi indiziari desunti dalle modalità della frode e dalle allegazioni delle parti. In assenza di allegazioni che delineino un contesto di frode particolarmente sofisticato, la mancata spiegazione delle circostanze della truffa giustifica il riscontro presuntivo della negligente custodia delle credenziali. La mancata attivazione del servizio di sms alert, presidio di sicurezza ex post, è irrilevante quando l’operazione fraudolenta sia unica, perché l’avviso non avrebbe potuto eliminare né ridurre il danno.

Il Fatto

La ricorrente, esaurita la fase del reclamo, adisce l’Arbitro chiedendo l’accertamento del diritto al rimborso di 980,00 euro, corrispondenti al valore di un’operazione di pagamento disconosciuta perché eseguita fraudolentemente da terzi non autorizzati. Si tratta di un bonifico istantaneo eseguito l’11 gennaio 2026.

L’intermediario resistente eccepisce che il bonifico risulta correttamente autenticato, registrato e contabilizzato, senza evidenza di malfunzionamenti o compromissioni dei sistemi, e che l’operazione è stata disposta mediante un sistema di Strong Customer Authentication basato su un fattore di conoscenza (codice personale) e su un fattore di possesso (device associato alla ricorrente). Eccepisce inoltre la colpa grave della cliente, evidenzia di aver messo a disposizione strumenti di controllo come l’sms alert e di non essere assoggettato ad alcun obbligo generale di monitoraggio. Chiede quindi il rigetto del ricorso. In sede di repliche la ricorrente integra la documentazione.

La motivazione del Collegio

Il Collegio muove dalla cornice normativa applicabile: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, il Regolamento Delegato (UE) n. 2018/389 e l’Opinion dell’EBA del 21 giugno 2019 in tema di autenticazione forte. Su questa base si impone anzitutto la verifica del sistema di autenticazione e del rispetto dei requisiti di legge, che pongono sull’intermediario l’onere di provare l’avvenuta autenticazione, registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti.

L’intermediario assolve a tale onere. Emerge dagli atti che l’operazione è stata eseguita con un sistema a doppio fattore, mediante notifica push sull’app e inserimento del codice personale. La procedura di enrollment sul dispositivo risulta avvenuta dal 20 novembre 2024, senza modifiche successive. Quanto alla specifica operazione, le schermate prodotte mostrano l’autenticazione della ricorrente alla propria home banking il giorno della truffa alle ore 12:12, poco prima dell’esecuzione del bonifico, mediante codice personale e device associato, e poi l’autorizzazione dell’operazione con l’app installata sul dispositivo e il codice personale. Il Collegio, in continuità con il proprio orientamento, ritiene dunque dimostrata la corretta autenticazione e la regolarità formale dell’operazione con un sistema SCA-compliant, richiamando la decisione n. 224/2025.

Passando all’eccezione di colpa grave, il Collegio ricorda che essa può ritenersi provata anche attraverso il combinarsi di più elementi indiziari e in via presuntiva, in relazione alle modalità con cui la frode è stata posta in essere. Nel caso di specie la ricorrente non allega alcuna circostanza sulla frode subita, limitandosi a contestare l’operazione; solo nella denuncia allude a una telefonata ricevuta da un numero non riconducibile alla convenuta, senza meglio specificare. L’integrazione in sede di repliche, priva di descrizione, non aiuta a decifrare i fatti. Le mancate allegazioni non consentono di ravvisare un contesto di frode particolarmente sofisticato che giustifichi un abbassamento della soglia di diligenza dell’utente. Il Collegio riscontra pertanto, in via presuntiva, la condotta gravemente colposa per negligente custodia delle credenziali.

Quanto alla dedotta carenza del servizio di alert, il Collegio richiama l’approccio sostanziale per cui, pur rientrando tra i doveri di protezione dell’intermediario l’onere di fornire il servizio di sms alert, i suoi effetti vanno valutati alla stregua delle circostanze concrete. La mancata attivazione, quale presidio di sicurezza ex post, è irrilevante nell’ipotesi di esecuzione di una sola operazione fraudolenta, perché l’avviso non avrebbe potuto eliminare né ridurre il danno.

Il ricorso non è pertanto accolto.