Frode informatica e autenticazione SCA la colpa grave riduce il rimborso (ABF Collegio di Bari n. 727 del 27.01.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento assolve l’onere probatorio di cui all’art. 5, comma 1, lett. b), d.lgs. n. 11/2010 quando dimostra, tramite i log di sistema e gli alert inviati al cliente, che l’operazione è stata autenticata, correttamente registrata e contabilizzata secondo i requisiti della Strong Customer Authentication a doppio fattore. Accertata la conformità del sistema, il rimborso è escluso solo se ricorre la colpa grave dell’utente, desumibile anche in via presuntiva dal complesso degli elementi indiziari e dalle modalità con cui la frode è stata realizzata. Qualora il cliente abbia contribuito in misura determinante al danno, violando l’obbligo di diligente custodia delle credenziali, il Collegio può liquidare equitativamente un ristoro parziale. La revoca dell’ordine di pagamento resta subordinata al consenso del beneficiario, e il dovere di cooperazione del prestatore si esaurisce negli sforzi ragionevoli di recupero delle somme.

Il Fatto

La ricorrente, titolare di un conto corrente, adisce l’Arbitro chiedendo la restituzione di 17.204,00 euro, pari al valore di quattro bonifici disconosciuti perché eseguiti nel contesto di una frode. Riferisce di essere stata contattata telefonicamente da un sedicente operatore del servizio clienti dell’intermediario, che l’aveva convinta a seguire una procedura per annullare operazioni non autorizzate. Insospettita, contattava poi l’intermediario e si avvedeva dei quattro bonifici, tutti disposti il 14 novembre 2024.

L’intermediario eccepisce la piena conformità del sistema di autenticazione alla SCA, la corretta registrazione delle operazioni e la colpa grave della ricorrente, oltre ad aver tentato senza esito il recall dei bonifici. Chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla verifica del sistema di autenticazione, poiché la disciplina del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 in recepimento della PSD 2, e il Regolamento Delegato (UE) n. 2018/389 pongono sull’intermediario l’onere di provare che l’operazione è stata autenticata e contabilizzata senza malfunzionamenti, secondo un’autenticazione a doppio fattore.

L’intermediario dimostra che i bonifici sono stati autorizzati con PIN e OTP generata dal mobile token, con login registrato alle ore 14:42:04 e inserimento dei bonifici tra le 14:51:16 e le 15:19:51 dal medesimo dispositivo. Produce i log di sistema, gli SMS alert e le notifiche push. L’onere probatorio è dunque assolto, come già ritenuto da questo Collegio in nn. 3443/2025 e 10734/24.

Resta l’eccezione di colpa grave, che il Collegio ritiene provabile anche in via presuntiva. La ricorrente invoca la sofisticatezza della frode, ma i messaggi prodotti presentano errori di punteggiatura e contenuto atipico, e la stessa ammette di aver inserito nell’App i codici ricevuti. La condotta ha quindi contribuito in misura determinante al danno, violando l’obbligo di custodia delle credenziali: l’intermediario sopporta parte delle conseguenze, liquidate equitativamente in 10.000,00 euro.

La doglianza sulla mancata rilevazione di operazioni inusuali è sfornita di prova, non avendo la ricorrente prodotto gli estratti conto idonei a ricostruire la sua normale operatività. Quanto alla mancata revoca dei pagamenti, il Collegio richiama il principio di irrevocabilità dell’ordine di cui all’art. 17, comma 1, d.lgs. n. 11/2010 e l’art. 24, comma 2, che impone sforzi ragionevoli di recupero: l’intermediario ha avviato il recall ottenendo il blocco di 13.774,00 euro, non riaccreditabili senza il consenso del beneficiario. Nessuna violazione del dovere di cooperazione.

Infine, la domanda di rifusione delle spese di assistenza professionale è accolta per 300 euro, in applicazione della decisione del Collegio di Coordinamento n. 4580/2025, che ammette il ristoro equitativo del danno emergente in presenza di questioni complesse.