Colpa grave dell’utente esclude il concorso dell’intermediario nella frode (ABF Collegio di Bari n. 3527 del 22.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate disposte a seguito di frode informatica, la prova della regolarità formale dell’autenticazione non esaurisce l’onere probatorio posto a carico del prestatore di servizi di pagamento dall’art. 10, comma 2, d.lgs. n. 11/2010, che deve fornire elementi di fatto idonei a integrare, in via presuntiva, il dolo o la colpa grave dell’utilizzatore. Integra colpa grave la condotta del cliente che, su indicazione di un interlocutore telefonico qualificatosi come operatore bancario, installi sul device utilizzato per l’operatività bancaria un’app di controllo remoto, consentendo a terzi di disporre del dispositivo, delle credenziali e dei codici, senza alcuna verifica autonoma presso i canali ufficiali degli intermediari. Accertata la colpa grave, il concorso di colpa del prestatore di servizi di pagamento è riconosciuto solo in presenza degli indici di frode tipizzati dall’art. 8 del D.M. n. 112/2007 ovvero di ulteriori anomalie emergenti con sufficiente evidenza rispetto alla storicità delle movimentazioni; la sola causale generica, la natura istantanea del bonifico e la novità del beneficiario non integrano un dovere generale di monitoraggio.

Il Fatto

Una società riferisce di aver subito l’addebito di € 4.990,00 sul conto aziendale intrattenuto presso un intermediario, a seguito di un bonifico istantaneo disposto da terzi in data 08/07/2025. La frode sarebbe stata orchestrata mediante un attacco di social engineering ai danni del legale rappresentante, contattato da un numero apparentemente riconducibile al servizio clienti di un altro intermediario e indotto a installare un’applicazione tramite un link ricevuto su un’app di messaggistica.

Il ricorrente contesta al primo intermediario di non aver impedito lo spoofing del proprio numero verde e al secondo di non aver attivato filtri antifrode a fronte di un’operazione anomala. Entrambi resistono: il primo eccepisce il difetto di legittimazione passiva, il secondo sostiene la regolarità dell’autenticazione e la colpa grave del cliente.

La motivazione del Collegio

In via preliminare il Collegio accoglie l’eccezione del primo intermediario. Le domande a lui rivolte concernono un bonifico eseguito su un conto acceso presso un altro intermediario; in casi analoghi i Collegi hanno ravvisato il difetto di legittimazione passiva degli intermediari i cui contatti ufficiali erano stati oggetto di spoofing quando le operazioni erano state disposte su conti accesi presso terzi. Il richiamo alla pronuncia del Collegio di Bologna n. 7832/23 è ritenuto inconferente, riguardando la diversa figura dell’intermediario collocatore.

Passando al merito, il Collegio rileva che l’operazione è stata disposta sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. L’intermediario ha prodotto log di accesso, la descrizione del processo di autenticazione forte e l’attestazione che l’operazione è stata eseguita dal medesimo deviceID abitualmente utilizzato, senza variazioni dell’utenza: tale documentazione è idonea a dimostrare la corretta autenticazione e l’assenza di malfunzionamenti.

Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745 del 10/10/2019, secondo cui la produzione documentale sulla sola autenticazione non soddisfa l’onere di provare la colpa grave dell’utente. Nel caso concreto, la ricorrente ha allegato lo screenshot di una chiamata di oltre un’ora, nel cui arco si colloca il bonifico, e la chat con il link, il cui mittente è però un numero di cellulare recante solo logo e nome del primo intermediario. Da tali fatti emerge che la ricorrente non si è limitata a subire un furto di credenziali, ma ha attivamente installato un’app di controllo remoto sul device su cui era presente l’app business, vanificando le misure di sicurezza fondate sull’esclusività del controllo del dispositivo.

Pur nella sofisticatezza della truffa, la scelta di installare l’applicazione senza verifica presso i canali ufficiali integra colpa grave. Quanto al concorso del prestatore, nessuno degli indici dell’art. 8 del D.M. n. 112/2007 risulta integrato e le anomalie addotte (causale generica, istantaneità, novità del beneficiario) non assurgono a indice qualificato, in linea con la propria precedente decisione n. 9567/25. Il ricorso è pertanto non accolto.