Frode informatica su bonifico autorizzato allo sportello: responsabilità del PSP (ABF Collegio di Bari n. 3837 del 30.04.2026)

Principi di diritto (Massima)
Il bonifico disposto e autorizzato personalmente dal cliente allo sportello, ancorché suggerito da un frodatore, non integra un’operazione di pagamento non autorizzata e non attiva la responsabilità oggettiva del prestatore di servizi di pagamento. Il PSP risponde solo se emerga un suo apporto causale, riconoscibile in ipotesi tipizzate: indisponibilità del numero verde, mancata percezione del tentativo di frode da parte del dipendente cui il cliente si sia rivolto, mancato rilievo di indici di frode. Sul PSP non grava un dovere generale di monitorare la regolarità delle operazioni ordinate dal cliente, salvo i rischi tipizzati dall’art. 8 del D.M. n. 112/2007. I prestatori non sono tenuti a verificare la congruità tra IBAN indicato e titolare del conto di accredito, essendo l’obbligo di verifica del beneficiario operativo solo dal 9 ottobre 2025.

Il Fatto

Il ricorrente, correntista presso un intermediario, riceve un SMS che si inserisce in coda a una conversazione genuina con la propria banca e viene indotto a contattare un numero di telefono e a seguire istruzioni per evitare una perdita di denaro. Recatosi presso una sede dell’intermediario, esegue un bonifico urgente dell’intero saldo, pari a 44.290,00 euro, in favore di un IBAN sconosciuto presso un secondo intermediario, credendo di accreditare su un conto a sé intestato. Il giorno successivo si avvede della frode.

Chiede il rimborso a entrambi gli intermediari, contestando al primo l’inadeguatezza del sistema antifrode e la mancata prova del recall, al secondo il ritardo nel blocco cautelativo del conto del beneficiario e la violazione della disciplina antiriciclaggio. Domanda inoltre la consegna di documentazione sulla messaggistica e sul blocco del conto. Entrambi gli intermediari eccepiscono la correttezza della propria condotta.

La motivazione del Collegio

Il Collegio respinge il ricorso. La qualificazione centrale è netta: l’operazione disconosciuta è stata richiesta e autorizzata personalmente dal ricorrente, pur all’esito di una frode di terzi. Non trova quindi applicazione la disciplina sulla responsabilità oggettiva del prestatore per le operazioni di pagamento non autorizzate. Il cliente lamenta piuttosto una responsabilità nell’esecuzione del bonifico recante un IBAN non coerente con il nominativo del beneficiario.

Nei casi di operazione autorizzata personalmente, il Collegio precisa che la frode non è di per sé sufficiente, salvo che emerga un apporto causale dell’intermediario. Vengono indicate tre ipotesi esemplificative: la mancata disponibilità del numero verde, la mancata identificazione del tentativo di frode da parte del dipendente cui il pagatore si sia rivolto, il mancato rilievo di indici di frode quando il blocco avrebbe reso il cliente consapevole. Nessuna di esse ricorre: l’affermazione sui contatti con il servizio clienti non è supportata da prova e non risulta che il ricorrente abbia informato gli addetti di sportello delle istruzioni ricevute dai frodatori.

Il Collegio conferma l’orientamento per cui sul PSP non incombe un dovere generale di monitoraggio delle operazioni ordinate dal cliente, fuori dai rischi tipizzati dall’art. 8 del D.M. n. 112/2007. Richiama il principio del Collegio di Coordinamento secondo cui il fatto colposo del ricorrente, recatosi in filiale e omettendo di esporre le richieste del frodatore, assorbe il rilievo causale di qualsiasi inadempimento della banca.

Quanto alla difformità tra IBAN e intestatario, il Collegio ribadisce che i prestatori non sono tenuti a verificarne la congruità: l’obbligo di verifica del beneficiario si applica solo dal 9 ottobre 2025, mentre l’operazione è del 26 marzo 2025. Sul recall, l’intermediario dell’ordinante ha prodotto idonea evidenza dell’avvio della procedura, risultata vana per insufficienza di fondi sul conto beneficiario.

La condotta dell’intermediario del beneficiario è ritenuta non censurabile ma cooperativa: ha bloccato cautelativamente il conto fra il 27 marzo e l’8 aprile, in assenza di provvedimento dell’Autorità giudiziaria, giunto solo il 2 giugno. Quanto all’antiriciclaggio, il Collegio ritiene l’identificazione tramite selfie compatibile con le Disposizioni della Banca d’Italia, richiamando anche gli orientamenti EBA sull’onboarding a distanza. Infine, il riscontro al ricorrente del 30 giugno non avrebbe evitato il danno, essendo i fondi già distratti il 9 maggio.