Spoofing e app malevola: colpa grave dell’utente esonera l’intermediario (ABF Collegio di Bologna n. 2068 del 09.03.2026)

Principi di diritto (Massima)
L’art. 10, comma 1, d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento la prova che l’operazione contestata sia stata autenticata, eseguita e contabilizzata; tale prova, secondo l’art. 10, comma 2, non esaurisce l’onere probatorio, dovendo il prestatore indicare gli elementi di fatto da cui desumere, in via presuntiva, la colpa grave dell’utilizzatore. Quando l’intermediario dimostri l’autenticazione forte a due fattori e l’utente non alleghi né documenti i fatti a fondamento della dedotta frode, il giudizio di colpa grave a carico del cliente è fondato e il ricorso va rigettato. Il principio dell’onere della prova ex art. 2697 c.c. opera anche davanti all’Arbitro, non potendosi supplire alla carenza documentale con mere allegazioni.

Il Fatto

Il ricorrente chiede all’Arbitro il rimborso di Euro 12.042,00, pari all’importo di due bonifici eseguiti il 20.02.2025 in uscita dal proprio conto, oltre al rimborso delle spese legali. Espone di avere ricevuto un SMS civetta apparentemente proveniente dall’intermediario, di avere contattato il numero indicato e di avere scaricato, su indicazione dell’interlocutore, un’applicazione presentata come necessaria per la sicurezza del conto. Un secondo messaggio lo avvisava di una manutenzione dell’home banking; il giorno successivo constatava l’esecuzione dei due bonifici non autorizzati, bloccava conto e carta e sporgeva denuncia.

L’intermediario resiste sostenendo la colpa grave del cliente, di avere correttamente autenticato, registrato e contabilizzato le operazioni, di avere inviato SMS e notifiche push di alert e di avere tentato senza esito il recall delle somme. Contesta inoltre la rifusione delle spese legali, non essendo l’assistenza tecnica obbligatoria nel procedimento arbitrale.

La motivazione del Collegio

Il Collegio muove dalla qualificazione normativa: le operazioni ricadono sotto il d.lgs. 27.01.2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2). Sul piano dell’autenticazione, le tracciature informatiche prodotte dall’intermediario dimostrano l’uso del dispositivo del cliente lungo tutto il processo: accesso all’App mediante codice utente e PIN (elemento della conoscenza) e successivo codice OTP generato in App (elemento del possesso), con identica modalità per l’esecuzione dei due bonifici. L’intermediario ha dunque assolto all’onere dell’art. 10, comma 1, d.lgs. 11/2010.

Il Collegio richiama quindi la decisione del Collegio di Coordinamento n. 22745/19, secondo cui la prova dell’autenticazione e della regolarità formale non soddisfa da sola l’onere dell’art. 10, comma 2, dovendo il prestatore indicare gli elementi di fatto che consentano di desumere in via presuntiva la colpa grave dell’utente. Passa poi a scrutinare la condotta delle parti.

Quanto al cliente, il Collegio rileva che egli si è limitato a disconoscere le operazioni, a riferire dell’SMS civetta, della chiamata al sedicente dipendente e dell’App malevola, senza però documentare alcuno di tali fatti. Non ha prodotto l’SMS, la traccia della chiamata, l’applicazione scaricata, né altro elemento da cui desumere la natura sospetta delle transazioni. Tale carenza, in violazione dell’art. 2697 c.c., consente di formulare un giudizio di colpa grave a carico del ricorrente, richiamando la decisione del Collegio di Bologna n. 9593/24.

Nessun elemento depone invece per una colpa dell’intermediario: l’operazione non integra alcun parametro dell’art. 8 del D.M. 112/2007 in tema di rischio di frode; l’intermediario ha inviato gli SMS alert e le notifiche push dei bonifici, con relativa evidenza; ha tentato il recall senza esito positivo. Il ricorso è pertanto non accolto.