Frode informatica su bonifici istantanei: SCA provata e colpa grave del cliente (ABF Collegio di Roma n. 3942 del 05.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, ai sensi dell’art. 12, comma 2 bis, d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017 di recepimento della Direttiva 2015/2366/UE (PSD 2), l’intermediario è tenuto a provare l’autenticazione, la corretta registrazione e la contabilizzazione delle operazioni, nonché l’adozione di un Sistema di autenticazione forte (SCA). Resta a carico dell’intermediario anche la prova dei fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’uso fraudolento dello strumento. Le mancate allegazioni del cliente sulla dinamica della frode costituiscono un elemento valutabile dal Collegio per il convincimento sulla colpa grave, ove l’intermediario abbia dimostrato l’autenticazione delle transazioni.

Il Fatto

Il ricorrente, titolare di un conto corrente, apprende dalla consultazione dell’estratto conto che il 3 e il 4 dicembre 2024 sono stati eseguiti quattro bonifici istantanei mai autorizzati, per un totale di 24.910,00 euro. In pari data ignoti avevano richiesto anche l’aumento del tetto giornaliero dei bonifici. Il cliente non aveva ricevuto alcun SMS alert, blocca immediatamente il conto e denuncia il fatto alle forze dell’ordine; una perizia informatica esclude la presenza di malware sui suoi device e dalla verifica sull’operatività online emerge che dispositivi diversi dai propri si erano collegati ai servizi di home banking.

La banca resiste sostenendo che le operazioni sono state eseguite senza anomalie, che nessuna utenza ulteriore risulta associata al servizio di banca multicanale e che il device utilizzato è il medesimo in uso al cliente. In repliche il ricorrente rileva che le operazioni sono state eseguite tramite un browser con indirizzo IP riconducibile a un servizio di anonimizzazione. Il ricorrente chiede la restituzione dell’importo; la banca insiste per il rigetto.

La motivazione del Collegio

Il Collegio richiama l’orientamento del Collegio di coordinamento n. 22745 del 2019 e individua due profili dirimenti: la prova dell’autenticazione forte da parte dell’intermediario e la prova della colpa grave dell’utilizzatore. Sul primo, la banca produce i log che comprovano, per ciascun bonifico, l’inserimento delle credenziali di accesso (fattore di conoscenza), dell’OTP generato dal token fisico (fattore di possesso) e del codice Mapellum generato all’interno della banca multicanale. Tale modalità autorizzativa è ritenuta conforme alla SCA, in linea con il precedente Coll. Roma n. 17867 del 2021.

Sul secondo profilo, il Collegio osserva che il ricorrente si è avveduto delle operazioni solo casualmente l’8 dicembre 2024 e non ha mai ceduto le credenziali a terzi, ma trascura di fornire ulteriori dettagli sulla dinamica della vicenda. Secondo l’orientamento condiviso dei Collegi, richiamato nel precedente Coll. Roma n. 8058 del 2022, le mancate allegazioni del cliente sulle circostanze di fatto alla base della frode sono elemento da cui il Collegio può trarre il convincimento circa la colpa grave, quando l’intermediario abbia provato l’autenticazione delle transazioni disconosciute.

Rileva inoltre che la banca ha prodotto evidenza delle notifiche push inviate il 3 e 4 dicembre 2024, circostanza che priva di rilievo la doglianza sull’assenza di allerta. Questi elementi, nella loro unitarietà, attribuiscono valore secondario anche alla lamentata anomalia delle operazioni rispetto all’ordinaria operatività del ricorrente. Il ricorso è pertanto privo di fondamento e viene respinto.