Frode informatica su bonifici online (ABF Collegio di Torino n. 4071 del 07.05.2026)

Principi di diritto (Massima)
In tema di frode informatica su operazioni di pagamento online, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, nonché che l’utente ha agito con dolo o colpa grave. Ove il sistema di autenticazione forte risulti conforme alla disciplina del d.lgs. n. 11/2010, in particolare per l’enrollment di un nuovo dispositivo con fattori di conoscenza e di possesso, il prestatore è esonerato da responsabilità per le disposizioni così autorizzate. Resta invece a suo carico il rischio delle operazioni di e-commerce per le quali non sia possibile individuare i fattori di autenticazione impiegati. Il concorso di colpa dell’utente, valutato anche alla luce della mancata allegazione degli elementi utili alla ricostruzione della frode, giustifica la riduzione del rimborso, purché esso sia proporzionato alla perdita effettiva.

Il Fatto

Il ricorrente ha subito una frode informatica sfociata in sette bonifici e due pagamenti con carta, per un totale di € 56.898,00, eseguiti tra il 22 e il 26 luglio 2025 su due conti, uno dei quali cointestato. La vicenda si è articolata attraverso telefonate di sedicenti operatori del servizio clienti, inviti a modificare il PIN e l’installazione dell’app su un nuovo dispositivo, con contestuale blocco dell’accesso all’area riservata.

Dopo il reclamo del 28 luglio 2025, riscontrato negativamente, il ricorrente si è rivolto all’Arbitro chiedendo il rimborso del residuo di € 20.932,00, dopo che l’intermediario aveva già rimborsato € 8.966,00 ed estinto un finanziamento di € 27.000,00 acceso fraudolentemente. La banca ha resistito sostenendo la conformità del sistema di autenticazione e la collaborazione colposa del cliente alla consumazione della truffa.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando gli artt. 10, 10-bis e 11 del d.lgs. n. 11/2010, che delineano un’onere probatorio a carico del prestatore di servizi di pagamento e la responsabilità dell’utente per la custodia delle credenziali. La regola è quella della responsabilità del PSP, salvo prova dell’autenticazione e del dolo o della colpa grave del cliente.

Quanto alle operazioni di bonifico, il Collegio ritiene che l’intermediario abbia assolto all’onere probatorio. L’enrollment del nuovo dispositivo è avvenuto mediante codice cliente, data di nascita e tre cifre del PIN, unitamente a un OTP ricevuto via SMS; l’accesso e le disposizioni sono poi state autorizzate con S***Code e con l’app. Il sistema è dunque conforme alla SCA, come già riconosciuto in un precedente dello stesso Collegio richiamato nel provvedimento.

Le due operazioni di e-commerce presentano invece una lacuna istruttoria: non è possibile individuare i fattori di autenticazione impiegati. Per queste sole operazioni il rischio resta in capo all’intermediario.

Accanto a ciò, il Collegio ravvisa forti elementi di concorso di colpa del ricorrente, il quale ha prodotto solo il primo messaggio civetta e non gli screenshot della successiva evoluzione della frode, rendendo impossibile una valutazione completa; non è inoltre verificabile con quale tempestività si sia attivato dopo gli alert del 16 e del 22 luglio 2025. Parimenti pacifica è la responsabilità dell’intermediario per l’impossibilità del cliente di reperire un interlocutore.

In una situazione di concorso di responsabilità, il Collegio ritiene che gli effetti del concorso siano sostanzialmente assorbiti dai rimborsi già intervenuti, pari a € 35.966,00, che riducono il residuo richiesto a circa il 37% del totale: quota che ben corrisponde a quella ascrivibile alla colpa del cliente. Il ricorso è pertanto non accolto.