Frode informatica e bonifico non autorizzato (ABF Collegio di Roma n. 2903 del 31.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ai sensi dell’art. 10, primo comma, d.lgs. n. 11/2010. Tale prova non è integrata dalla mera produzione di log che attestino l’invio di un codice OTP, ove non risulti accertabile l’impiego di un adeguato fattore di conoscenza nell’ambito della Strong Customer Authentication. Il difetto probatorio sulla autenticazione a più fattori determina la responsabilità dell’intermediario per il pregiudizio subito dall’utente, anche a fronte di un disconoscimento accompagnato da regolare denuncia.

Il Fatto

La ricorrente, società titolare di un conto corrente presso la resistente, ha disconosciuto un bonifico di Euro 594,00 disposto il 9 maggio 2025 con causale «verifica conto» in favore di un terzo ignoto. La società ha riferito di aver riscontrato l’ammanco nella stessa giornata, di aver tentato invano di contattare un operatore e di aver sporto denuncia presso le Autorità, dichiarando di non aver mai ceduto a terzi le credenziali di home banking.

La resistente ha negato il rimborso sostenendo che l’operazione era stata eseguita tramite un dispositivo autorizzato, previa associazione di un nuovo apparato mediante invio di un codice OTP via sms ed e-mail, con comunicazione di conferma dell’avvenuto accesso. Il Collegio ha sospeso il procedimento per acquisire documentazione sull’uso del secondo fattore di autenticazione; la resistente ha prodotto alcuni log, dichiarando di non conservare i messaggi inviati ai clienti.

La motivazione del Collegio

Il Collegio inquadra l’operazione nella vigenza del regime PSD2, come recepito dal d.lgs. n. 11/2010 a seguito delle modifiche introdotte dal d.lgs. n. 218/2017. Su questa base verifica il riparto dell’onere probatorio tra utente e intermediario.

La resistente non ha offerto spiegazioni di particolare solidità. I log prodotti suggeriscono l’invio dei codici di autenticazione, ma in modo incompleto: non è accertabile se al codice OTP si sia accompagnato un adeguato fattore di conoscenza, secondo pilastro della SCA. La documentazione integrativa lascia inoltre intendere che il cambio della password sia stato anteriore all’invio dell’OTP e abbia presumibilmente funto da grimaldello per la frode.

Il Collegio richiama l’art. 10, primo comma, d.lgs. n. 11/2010, secondo cui, quando l’utente nega di aver autorizzato un’operazione di pagamento già eseguita, spetta al prestatore provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti o altri inconvenienti. La prova dell’autenticazione è quindi il presupposto per affermare la legittimità del comportamento del PSP e, di converso, la responsabilità dell’utente.

Sul punto il Collegio richiama il proprio precedente (decisione n. 26738/2019), che già aveva riconosciuto la responsabilità dell’intermediario, anche a fronte di un conclamato phishing, quando manchino evidenze a supporto della correttezza di autenticazione, registrazione e contabilizzazione, richiamando a sua volta il Collegio di Torino, decisione n. 3464/2018.

Alla stregua di queste considerazioni, la resistente non ha assolto ai propri oneri probatori e deve ritenersi responsabile del pregiudizio patito dalla ricorrente. Il Collegio accoglie quindi il ricorso e dispone che l’intermediario corrisponda alla ricorrente Euro 594,00, oltre al contributo alle spese della procedura di Euro 200,00 in favore della Banca d’Italia e al rimborso di Euro 20,00 per la somma versata alla presentazione del ricorso.