Frode informatica su carta prepagata: SCA conforme e onere di allegazione dell’utente (ABF Collegio di Roma n. 1635 del 23.02.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che dimostri l’autenticazione forte del cliente (SCA) delle operazioni contestate, la loro corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti delle procedure soddisfa l’onere probatorio impostogli dall’art. 10 del d.lgs. n. 11/2010, nel testo applicabile ratione temporis. Sul cliente, che assume di essere stato vittima di frode, grava un onere di allegazione delle circostanze idonee a rendere attendibile un’ipotesi alternativa rispetto a quella dell’utilizzo a lui imputabile, anche solo per colpa grave. I meccanismi di monitoraggio delle operazioni fraudolente previsti dall’art. 2 del Regolamento delegato (UE) 2018/389 non devono necessariamente operare in tempo reale, potendo limitarsi a un controllo ex post. In difetto di allegazioni difensive adeguate il ricorso va respinto.

Il Fatto

Il ricorrente riferisce di aver scoperto, accedendo al proprio home banking, l’esecuzione di quattro pagamenti datati 02.10.2024 per l’importo complessivo di € 2.632,76. Chiede quindi il rimborso di quanto sottrattogli, lamentando di essere stato vittima di un utilizzo fraudolento.

L’intermediario, costituitosi, eccepisce che le operazioni sono state eseguite tramite un sistema conforme alla SCA e sostiene che il ricorrente sia stato vittima di phishing, con conseguente colpa grave dell’utente. Chiede pertanto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio osserva che le operazioni contestate ricadono nell’ambito temporale del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 che ha recepito la PSD2 (Direttiva 2015/2366/UE). L’art. 10 del decreto, nella formulazione applicabile, pone in capo al prestatore di servizi l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti.

Sul primo profilo il Collegio rileva che la documentazione dell’intermediario dimostra come le operazioni siano state disposte previo enrollment di un nuovo device, mediante inserimento della password e dell’OTP inviato al numero di cellulare del ricorrente. I pagamenti sono stati poi autorizzati tramite ricezione della notifica push e inserimento di un codice all’interno dell’app. Il sistema descritto è quindi giudicato conforme alla SCA prescritta.

Quanto al secondo profilo, il Collegio richiama l’orientamento secondo cui il prestatore deve dimostrare che l’utente abbia agito con dolo o colpa grave o mediante comportamento fraudolento. Nel caso concreto il ricorrente non ha fornito, né in sede di denuncia né in sede di ricorso, alcun elemento utile a ricostruire la dinamica della frode. Non ha quindi adempiuto l’onere di allegare elementi utili a provare che l’operazione sia stata realmente fraudolenta (Coll. Roma, decisione n. 299/2020).

Il Collegio ribadisce che grava sull’utente non tanto un onere probatorio, che la legge in principio non gli addossa, quanto un onere di allegazione delle circostanze che possano offrire una attendibile ipotesi alternativa rispetto a quella, altrimenti residuale, dell’utilizzo imputabile al titolare (Coll. Roma, decisione n. 10723/2019). Ciò consente di superare le contestazioni sul mancato controllo degli indici di anomalia: secondo l’interpretazione dell’EBA (Q&A 4090/2018), i meccanismi di monitoraggio non devono operare in tempo reale, potendo limitarsi a un controllo ex post (Coll. Roma, decisione n. 2534/2022). Il ricorso è pertanto respinto.