Colpa grave dell’utente e autenticazione forte nel vishing con caller ID contraffatto (ABF Collegio di Bari n. 4381 del 14.05.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che provi l’esecuzione dell’operazione in regime di autenticazione forte (SCA) ha assolto l’onere probatorio posto a suo carico dall’art. 10 del d.lgs. n. 11/2010 e ha diritto di sottrarsi al rimborso ove dimostri il dolo o la colpa grave dell’utilizzatore. Integra colpa grave la condotta del titolare del conto che, contattato telefonicamente da sedicenti operatori, autorizzi l’installazione di applicazioni di terze parti sul proprio dispositivo e metta così i frodatori in condizione di acquisire le credenziali e i codici dispositivi. La riconducibilità apparente dell’utenza chiamante al servizio clienti non giustifica l’affidamento, poiché il caller ID è agevolmente alterabile e resta a carico dell’utente l’onere di verifica con i canali ufficiali. L’irrevocabilità dell’ordine di pagamento, una volta ricevuto dal PSP del pagatore, preclude il rimborso in difetto del consenso del beneficiario o di provvedimento dell’Autorità giudiziaria.

Il Fatto

La ricorrente, cointestataria di un conto corrente abilitato all’operatività on line, chiede il rimborso di un bonifico di euro 8.700,00 disposto il 19/11/2024 e successivamente disconosciuto. Espone di essere stata contattata da un sedicente operatore dell’intermediario, con numero apparentemente riconducibile alla banca, il quale le segnalava un’operazione sospetta e la induceva a disinstallare l’applicazione bancaria e a installarne una “antivirus”. Il giorno seguente si avvedeva del bonifico istantaneo e presentava denuncia, ricevendo riscontro negativo alla richiesta di rimborso.

Insoddisfatta dell’esito del reclamo, adisce l’Arbitro deducendo la culpa in vigilando del prestatore di servizi di pagamento e chiedendo, in via principale, il rimborso integrale e, in via subordinata, il riconoscimento di una maggiore responsabilità dell’istituto. L’intermediario resiste sostenendo che l’operazione è stata autenticata con sistema a doppio fattore e che la frode è dipesa dalla colpa grave della cliente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e nel Regolamento delegato (UE) n. 2018/389. Il rischio di utilizzazione fraudolenta grava in prima battuta sull’intermediario, che può sottrarsi al rimborso provando il dolo o la colpa grave dell’utente. L’art. 10 impone al PSP di dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, precisando che il mero utilizzo di uno strumento di pagamento registrato non basta a provare l’autorizzazione.

Dai log informatici in atti il Collegio ricava che l’accesso è avvenuto dal dispositivo certificato in uso alla ricorrente mediante ID, password e OTP generato da Mobile Token, e che il bonifico è stato autorizzato con PIN e ulteriore OTP. Il processo di autenticazione multifattoriale si è dunque svolto in conformità alle regole di SCA e l’onere probatorio a carico del PSP risulta assolto.

Non convince il rilievo sul mancato blocco del bonifico verso un destinatario sconosciuto. Il Collegio osserva che il prestatore è autorizzato a eseguire l’operazione in conformità al solo identificativo unico e non è tenuto a verificare la corrispondenza tra nominativo del beneficiario e titolare del conto di accredito.

Passando alla colpa grave, il Collegio la ravvisa nelle stesse dichiarazioni della ricorrente, che ammette l’interlocuzione telefonica con il frodatore. Gli screenshot prodotti non provano il contenuto della conversazione né il download dell’applicazione malevola; l’ampio lasso temporale tra primo contatto e pagamento avrebbe consentito verifiche tempestive. L’installazione di app di terze parti abbinata al rapporto, ancorché inconsapevole, configura colpa grave secondo l’orientamento condiviso dei Collegi territoriali. Indicativa è anche la mancata attenzione al messaggio di alert e alla notifica push dell’operazione. Quanto all’assistenza, l’ordine di pagamento è divenuto irrevocabile ai sensi dell’art. 17 del d.lgs. n. 11/2010 e il richiamo è stato riscontrato negativamente per fondi insufficienti sul conto del beneficiario. Il ricorso è pertanto non accolto.