Colpa grave dell’utente esonera l’intermediario dal rimborso per frode informatica (ABF Collegio di Bologna n. 1137 del 09.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’art. 10 del d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata. La produzione documentale dell’avvenuta autenticazione non esaurisce però l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto che consentono di desumere, in via presuntiva, la colpa grave dell’utilizzatore. Quando l’intermediario dimostra che gli accessi e le disposizioni sono riconducibili al dispositivo e alle credenziali del cliente, e questi si limiti ad allegare un generico “hacking” dello smartphone senza ulteriori elementi, la colpa grave dell’utente è configurabile e il ricorso non può essere accolto.

Il Fatto

Il ricorrente ha rappresentato che il proprio smartphone, sul quale era caricata l’applicazione dell’intermediario, era stato oggetto di hacking; tramite l’app erano state eseguite operazioni sul conto che egli assume mai autorizzate. Dopo la denuncia e il disconoscimento delle operazioni, l’intermediario ha negato il rimborso, sostenendo che il cliente non avesse custodito adeguatamente i codici di accesso. Il ricorrente si è quindi rivolto all’ABF chiedendo il recupero di € 3.659,35, o di parte di tale somma.

L’intermediario, nelle controdeduzioni, ha eccepito che il bonifico di € 1.350,00 era stato disposto a favore del ricorrente su altro conto acceso presso un diverso intermediario, così che non sussisterebbe alcuna perdita a suo carico. Ha inoltre descritto il sistema di autenticazione basato su password statiche (User e PIN) e su codice OTP dinamico, affermando che tutte le operazioni erano state autenticate e registrate correttamente, e invocando la colpa grave dell’utente. In via subordinata ha chiesto l’applicazione della franchigia di 50 euro.

La motivazione del Collegio

Il Collegio ha anzitutto inquadrato la disciplina applicabile ratione temporis nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Ha poi rilevato un difetto di corrispondenza tra il modulo di disconoscimento e la documentazione prodotta: i due estratti conto preliminari allegati dal ricorrente non contengono importi riconducibili alle operazioni contestate, mentre i log versati dall’intermediario coincidono, per importo e tempi, soltanto con le due operazioni relative alla carta ***2123. Quanto al bonifico verso l’altro conto intestato al ricorrente, il Collegio ha osservato che non risultano provati i successivi pagamenti disconosciuti da quel conto.

Sul piano dell’autenticazione, il Collegio ha richiamato l’art. 10 del d.lgs. n. 11/2010, che addossa all’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione delle operazioni. Ha quindi verificato che l’intermediario aveva documentato l’accesso all’app mediante codice OTP generato in app, previo inserimento di User e PIN, e che il dispositivo univocamente identificato nei log era lo stesso smartphone normalmente utilizzato dal cliente. Analogamente, per il bonifico istantaneo, l’intermediario ha provato l’accesso con credenziali statiche e dinamiche riconducibili al device del ricorrente.

Il Collegio ha poi richiamato la decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la prova dell’autenticazione non soddisfa di per sé l’onere probatorio, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto dai quali trarre, in via presuntiva, la prova della colpa grave dell’utente. Nel caso concreto, il ricorrente si era limitato ad affermare di ritenere il proprio telefono hackerato e a disconoscere le operazioni, senza allegare ulteriori elementi o prove. L’intermediario ha richiamato l’orientamento dei Collegi territoriali su casi analoghi (tra cui la decisione n. 2640/2023 del Collegio di Bologna, la decisione n. 3516/2023 del Collegio di Torino e la decisione n. 4567/2022 del Collegio di Milano), che riconoscono in simili fattispecie la colpa grave del cliente.

Il Collegio ha infine escluso la rilevanza di ulteriori elementi di valutazione, quali gli indicatori di anomalia ex DM del 2007 e i sistemi di alert, poiché le notifiche push riportavano già i dati delle operazioni da autorizzare. Alla luce di tali considerazioni il ricorso è stato rigettato.