Frode con bollettini CBILL: la banca è esonerata se prova la SCA e il cliente non segnala la perdita del device (ABF Bari 3138/2026)
Arbitro Bancario Finanziario, Collegio di Bari, decisione n. 3138 del 10 aprile 2026 (seduta 23 marzo 2026) — Pres. Tucci, Rel. Francesco Quarta
I fatti
Il titolare di un conto corrente cointestato disconosceva 15 operazioni di pagamento eseguite il 21 giugno 2024 — 14 bollettini CBILL per complessivi € 14.799,72 e un pagamento con carta di debito di € 1.459,35, per un totale di € 16.259,07 — sostenendo che la banca fosse responsabile per non aver attivato i presidi di monitoraggio e blocco previsti dalla PSD2. La banca, costituitasi, produceva le tracciature informatiche delle operazioni, sostenendo che tutte fossero state autenticate correttamente tramite OTP generato via app, previa digitazione del PIN, e supportate da notifiche push inviate al cliente prima e dopo ciascuna operazione.
La decisione
Il Collegio ha richiamato il principio, enunciato dal Collegio di Coordinamento (decisione n. 9559/2024), secondo cui, di fronte al disconoscimento di operazioni di pagamento, va anzitutto verificato che l’intermediario abbia assolto l’onere di dimostrare l’uso della Strong Customer Authentication (SCA) in tutte le fasi rilevanti. Nel caso di specie, la banca ha provato che le operazioni rispettavano i requisiti della “Conoscenza” (OTP generato dopo digitazione del PIN) e del “Possesso” (app installata sul device abitualmente in uso al cliente). Assolto questo primo onere, il Collegio ha poi valutato la colpa grave del cliente, richiamando il principio del Collegio di Coordinamento (decisione n. 22745/2019) per cui la sola prova dell’autenticazione formale non basta: l’intermediario deve indicare elementi di fatto da cui desumere, in via presuntiva, la colpa grave dell’utente. Nel caso concreto, la denuncia alle Forze dell’Ordine presentata dallo stesso ricorrente rivelava una tipica dinamica di vishing: una telefonata da un sedicente operatore bancario lo aveva indotto a eseguire una “procedura operativa” (in realtà l’autorizzazione delle operazioni fraudolente) e a disinstallare l’app per un presunto virus. Decisivo, per il Collegio, il fatto che tutte le notifiche push relative alle operazioni contestate risultassero pacificamente ricevute e vidimate dal device abituale del ricorrente, il cui cambio veniva registrato solo dopo l’operatività fraudolenta, e che il cliente non avesse mai segnalato la perdita o la sottrazione del device o dei codici di sicurezza.
Provata dall’intermediario l’autenticazione forte (SCA) di tutte le operazioni contestate, la responsabilità per l’operatività fraudolenta si sposta sul cliente quando le notifiche push, sufficientemente eloquenti sullo stato di avanzamento delle singole operazioni, risultano pacificamente ricevute e vidimate dal suo dispositivo abituale, in assenza di segnalazione di perdita o sottrazione del device o dei codici di sicurezza.
L’esito
Il Collegio non accoglie il ricorso.
Perché questa decisione conta, in pratica
La pronuncia chiarisce che la prova della SCA da sola non chiude la partita a favore della banca, ma sposta l’attenzione sulla condotta del cliente. Per chi assiste vittime di frodi bancarie, il punto decisivo diventa la ricostruzione puntuale di cosa il cliente sapeva e quando: se le notifiche push descrivevano con chiarezza l’operazione in corso ed erano visibili sul device abitualmente in uso, sostenere il disconoscimento richiede di dimostrare in modo specifico perché quelle notifiche non fossero comprensibili o non fossero state effettivamente ricevute — non basta invocare genericamente la responsabilità della banca per il rischio d’impresa.