Frode informatica e bonifico disposto dal coniuge con credenziali della titolare (ABF Collegio di Palermo n. 4892 del 29.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento è esonerato da responsabilità quando dimostra l’adozione dell’autenticazione forte del cliente (SCA) sia in fase di accesso sia in fase di autorizzazione dell’operazione, secondo gli artt. 97 e 98 della PSD2 e l’art. 10-bis del d.lgs. n. 11/2010. La prova dell’autenticazione costituisce prius logico rispetto alla valutazione della condotta dell’utente. L’operazione disposta dal coniuge, non titolare del conto, mediante le credenziali dispositive di esclusiva titolarità della correntista integra colpa grave di quest’ultima, tenuta a custodire i codici e a non comunicarli a terzi. La presenza di un sistema di alert provato dall’intermediario consente all’utente di intervenire tempestivamente e concorre a escludere la responsabilità della banca.

Il Fatto

La ricorrente chiede la restituzione di € 4.836,00, importo di un bonifico eseguito sul proprio conto tramite internet banking e asseritamente frutto di frode. Secondo la tesi della cliente, in data 13/11/2025 un sedicente operatore della banca avrebbe contattato telefonicamente il marito inducendolo all’operazione. Il conto è intestato alla sola ricorrente, che sostiene però l’associazione operativa con il conto del coniuge mediante le medesime credenziali. Lamenta inoltre l’assenza di alcun sms alert.

L’intermediario eccepisce che il bonifico fu disposto dal coniuge con le credenziali di esclusiva titolarità della ricorrente, che l’accesso risulta regolarmente autenticato, che nessun’altra utenza era collegata e che l’sms alert fu inviato alle 19:48, con cut off per la revoca fissato alle 20:00. Il giorno successivo il coniuge si sarebbe recato in filiale ammettendo di possedere codici di accesso e strumenti autorizzativi. La ricorrente, nelle repliche, insiste sull’associazione dei conti e sulla mancata ricezione dell’alert.

La motivazione del Collegio

Il Collegio ricostruisce i fatti e qualifica l’operazione come non personalmente eseguita dalla titolare: il bonifico fu posto in essere dal marito, pur circuito dal frodatore, soggetto non intestatario del conto. Da ciò deriva la necessità di verificare l’adozione della Strong Customer Authentication da parte dell’intermediario e, in subordine, gli eventuali profili di colpa della ricorrente. La vicenda si colloca nella vigenza del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017, di recepimento della direttiva (UE) 2015/2366.

La SCA deve sussistere tanto nell’accesso allo strumento di pagamento online quanto nell’autorizzazione delle singole operazioni. Dai log emerge che l’accesso avvenne dal device storico della ricorrente alle 19:36, con autorizzazione alle 19:37 tramite token fisico, combinando PIN (fattore di conoscenza) e token (fattore di possesso). Il bonifico fu predisposto e autorizzato alle 19:46, superando i controlli alle 19:48. Il Collegio conclude che la SCA risulta provata.

Superata tale prova, si esamina la condotta dell’utente. Il Collegio richiama il principio del Collegio di Coordinamento n. 22745/2019, per cui la colpa grave dell’utente rileva solo dopo la prova dell’autenticazione. La ricorrente non allega denuncia né dettagli sulle modalità della frode e non produce evidenze sull’associazione dei conti. Dalla denuncia del marito emerge invece che questi si dichiara titolare di un conto in realtà intestato alla sola ricorrente e che avrebbe ricevuto un sms da numero con prefisso estero. Il bonifico fu dunque disposto dal coniuge con le credenziali dispositive di esclusiva titolarità della ricorrente, in violazione degli obblighi di custodia imposti all’utilizzatore dal d.lgs. n. 11/2010.

Quanto agli alert, poiché si tratta di un bonifico ordinario, rileva la presenza di un sistema che consenta la revoca tempestiva. L’intermediario ha depositato prova dell’attivazione del servizio e dell’invio dell’sms alle 19:48 del 13/11/2025 all’utenza riconducibile alla ricorrente. Alla luce di tali elementi il Collegio desume la colpa grave della ricorrente e non accoglie il ricorso.