Frode informatica su bonifico, blocco cautelativo non comunicato e responsabilità della banca (ABF Collegio di Roma n. 4751 del 26.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate disciplinate dal d.lgs. 11/2010, come modificato dal d.lgs. 218/2017 di recepimento della PSD 2, è sufficiente che il cliente neghi di aver autorizzato la transazione perché l’onere probatorio della autenticazione forte del cliente gravi sull’intermediario. La mancata allegazione delle modalità della frode può essere valutata come indizio della colpa grave del correntista. Tuttavia, l’intermediario che abbia correttamente disposto un blocco cautelativo per l’installazione sospetta dell’app su un nuovo dispositivo e lo revochi senza informare il cliente e senza verificarne l’identità viola i doveri di diligenza professionale di cui agli artt. 1176, comma 2, e 1218 c.c. Il concorso tra colpa grave del cliente e inadempimento della banca giustifica la liquidazione equitativa ex art. 1226 c.c. della quota di responsabilità dell’intermediario. La richiesta di risarcimento del danno non patrimoniale esige la prova del pregiudizio e non è accoglibile in presenza di conseguenze bagatellari.

Il Fatto

I ricorrenti lamentano l’esecuzione, il 18 giugno 2025, di un bonifico di 25.990,00 euro dal proprio conto corrente, disposto nell’ambito di una frode informatica. Un precedente tentativo era già avvenuto il 21 maggio 2025, quando l’app bancaria dell’intermediario era stata installata su un dispositivo diverso da quello abituale dei correntisti: circostanza che aveva indotto la banca a sottoporre il conto a blocco cautelativo.

I ricorrenti contestano che il conto sia stato sbloccato il 17 giugno successivo, senza che avessero ricevuto comunicazione né dell’installazione sospetta né del blocco e del suo venir meno, così da non poter disconoscere la configurazione dell’app. Chiedono quindi il rimborso integrale del bonifico, sostenendo che gli 8.665,00 euro già corrisposti dalla banca vadano imputati a risarcimento del danno non patrimoniale da disagio.

La motivazione del Collegio

Il Collegio ricostruisce in primo luogo gli obblighi di autenticazione. L’installazione dell’app sul nuovo dispositivo del 21 maggio 2025 richiese, secondo i log prodotti dalla banca, la digitazione del PIN dell’utente e l’inserimento di un codice dinamico OTP inviato al cellulare del correntista. L’operazione del 18 giugno fu poi eseguita tramite il PIN digitato all’interno della mobile app già configurata. I ricorrenti negano di aver comunicato i propri codici a terzi e non descrivono le modalità con cui la frode si sarebbe realizzata.

Sul piano della regola probatoria il Collegio aderisce all’orientamento condiviso tra i Collegi territoriali ABF: ai fini della PSD 2 è sufficiente che il cliente neghi l’autorizzazione, ma la mancata allegazione dei fatti della frode può concorrere a formare il convincimento sulla colpa grave del correntista. Nel caso concreto la carente descrizione della truffa costituisce appunto un indizio univoco della cooperazione colposa del cliente nell’installazione dell’app da parte del truffatore.

Il nucleo della decisione è però rappresentato dalla condotta della banca. I sistemi automatici di controllo operarono correttamente, individuando come sospetta l’attivazione dell’app e ponendo il blocco cautelativo. Le funzioni preposte al monitoraggio non si attivarono invece con la stessa tempestività sul piano informativo e di verifica: il blocco del conto e il successivo sblocco non vennero comunicati ai correntisti “per un disguido operativo”, come ammesso dalla stessa intermediaria in fase di reclamo. Lo sblocco avvenne per decorso del tempo, in assenza di disconoscimento, senza che la banca abbia richiesto al cliente alcuna attività idonea a confermarne la legittimità. La semplice informativa telefonica avrebbe consentito di svelare subito la truffa.

Quanto al monitoraggio delle operazioni, il Collegio richiama l’art. 2 del Regolamento Delegato (UE) n. 2018/389 e l’interpretazione dell’EBA, secondo cui i meccanismi antifrode possono operare anche ex post. Anche a prescindere dagli indici del D.M. n. 112/2007, non si ravvisano profili di riconducibilità. Il Collegio richiama però la propria decisione n. 8019 del 28.07.2023: se un’operazione appare ictu oculi non in linea con un’operatività fisiologica, l’intermediario che non abbia predisposto strumenti idonei a evidenziarla o bloccarla ne risponde.

Da un lato, dunque, il cliente incorse in colpa grave; dall’altro la banca violò i principi generali di diligenza professionale. Il Collegio accoglie parzialmente il ricorso e liquida in via equitativa ex art. 1226 c.c. l’ulteriore importo di 4.500,00 euro, oltre a quanto già rimborsato. Respinge invece la domanda risarcitoria: secondo la decisione n. 12109 del 22.11.2024 grava sul ricorrente la prova dell’an e del quantum del danno, anche non patrimoniale, non essendo ammissibili nel nostro ordinamento danni in re ipsa; la Cass. n. 26975/2008 esclude del resto il ristoro per conseguenze bagatellari.