Frode informatica e bonifico istantaneo: autenticazione forte e colpa grave del cliente (ABF Collegio di Milano n. 786 del 28.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, la conformità dell’operazione alla strong customer authentication prevista dall’art. 10-bis del d. lgs. n. 11/2010 e dal Regolamento Delegato Ue 2018/389 costituisce il prius logico rispetto all’accertamento della responsabilità del prestatore di servizi di pagamento. La prova di autenticazione, ove integrata da un fattore di possesso e da un fattore di conoscenza, sposta l’indagine sulla sussistenza di frode, dolo o colpa grave del cliente. La colpa grave è desumibile dalla condotta del cliente che abbia cliccato su un link decettivo o acceduto a un account compromesso, rendendo possibile l’accesso di terzi al dispositivo, e che non provi adeguatamente il malfunzionamento lamentato. Accertata la colpa grave, il ricorso è rigettato e nessun rimborso è dovuto.

Il Fatto

Il ricorrente riferisce di aver subito una frode sul proprio smartphone, in esito alla quale sarebbe stato fraudolentemente disposto un bonifico istantaneo di € 5.000,00 a favore di un soggetto sconosciuto. Dopo aver ricevuto un messaggio della banca relativo all’arrivo di un codice via SMS, si sarebbe accorto che la schermata del dispositivo era bianca e funzionava a intermittenza, senza possibilità di riavvio; solo dopo diverso tempo l’app bancaria avrebbe segnalato una temporanea indisponibilità.

Accedendo dall’app della moglie, il cliente constatava l’avvenuta disposizione del bonifico, senza alert né richiesta di autenticazione. Chiedeva quindi il rimborso. L’intermediario si costituiva eccependo la conformità dell’operazione alla normativa, la validazione dei fattori di possesso e di conoscenza e la colpa grave del cliente, che avrebbe ammesso di aver cliccato su un link decettivo; chiedeva in subordine il riconoscimento di un concorso di colpa ai sensi dell’art. 1227 cod. civ..

La motivazione del Collegio

Il Collegio richiama il quadro del d. lgs. n. 11/2010 come modificato dal d. lgs. n. 218/2017, di recepimento della direttiva 2015/2366/Ue (PSD2), e gli obblighi di strong customer authentication fissati dagli artt. 97 e 98 della direttiva, dall’art. 10-bis del d. lgs. n. 11/2010 e dalle norme tecniche EBA. L’autenticazione richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza.

Dalle tracciature informatiche emerge che l’accesso alla posizione e la fase dispositiva del bonifico sono avvenuti tramite device previamente certificato, con l’inserimento dello Smart PIN impostato dal cliente in fase di enrollment. Il fattore di possesso è quindi integrato dal dispositivo registrato, quello di conoscenza dal codice segreto. Il Collegio ritiene così provata la conformità a SCA dell’operazione.

La prova di autenticazione costituisce il prius logico rispetto alla verifica della colpa grave, richiamando i criteri del Collegio di coordinamento n. 22745/2019. Il ricorrente ha ammesso di aver presumibilmente cliccato su un link decettivo o acceduto a un account compromesso, e ha prodotto solo uno screenshot generico e il rapporto di formattazione del dispositivo. Lo scenario plausibile è quello di un accesso di terzi reso possibile dall’installazione di un’applicazione malevola.

Il Collegio esclude rilievo alla mancata attivazione degli SMS alert e alla presunta anomalia dell’operazione, essendo dimostrato che il bonifico era diretto a un conto radicato in Italia. La condotta del cliente integra quindi colpa grave e il ricorso non è accolto.