Frode informatica e bonifico disconosciuto: prova della SCA e onere della banca (ABF Collegio di Bari n. 1625 del 23.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, gli oneri probatori previsti dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, impongono al prestatore di servizi di pagamento di dimostrare che l’operazione è stata autenticata. La prova dell’autenticazione forte (SCA) costituisce un prius logico rispetto alla valutazione della colpa grave dell’utente: ove la banca non assolva a tale onere, la responsabilità dell’utilizzo fraudolento grava integralmente su di essa. Ai fini della prova possono valutarsi anche elementi esplicativi ulteriori rispetto ai log, purché consentano di verificare i singoli passaggi registrati dal sistema, e le eventuali dichiarazioni confessorie del cliente assumono valore di prova legale ai sensi dell’art. 2730 c.c.

Il Fatto

Il ricorrente, titolare di un conto corrente business, riferisce di aver ricevuto il 10/04/2025 una telefonata, apparentemente proveniente dal numero della banca, con cui un sedicente operatore lo avvertiva di un accesso fraudolento dall’estero e lo induceva a installare una app sul telefono. Convintosi di essere stato vittima di una frode, si recava in filiale e apprendeva della predisposizione di un bonifico verso l’estero di € 8.700,00, asseritamente bloccato in “quarantena”. Nonostante le rassicurazioni ricevute, il bonifico veniva eseguito il 14/04/2025.

Il ricorrente chiedeva la restituzione della somma, invocando il d.lgs. n. 11/2010, la violazione dell’obbligo di diligenza professionale e l’art. 2050 c.c. L’intermediario si opponeva, sostenendo di aver adottato un sistema di autenticazione a due fattori conforme alla PSD2 e di non avere obblighi di monitoraggio, e offriva il 50% della somma, rifiutato.

La motivazione del Collegio

In via preliminare, il Collegio rileva d’ufficio la questione della qualificazione del ricorrente, che nel ricorso si era dichiarato consumatore. Dall’esame della documentazione emerge che l’operazione è stata disposta da un conto aziendale facente capo a una ditta individuale, circostanza non contestata. Alla luce dell’art. 3 del Codice del Consumo, il Collegio modifica pertanto la qualifica in “non consumatore“.

Nel merito, la materia è regolata dal d.lgs. n. 11/2010, come novellato dal d.lgs. n. 218/2017. La disciplina impone obblighi reciproci: all’utente la diligente custodia delle credenziali e la tempestiva comunicazione delle operazioni fraudolente; al prestatore l’adozione di sistemi di sicurezza idonei a impedire l’accesso di terzi e l’interruzione dell’uso dello strumento dopo la comunicazione. In ragione del rischio d’impresa gravante sulla banca, gli oneri probatori si distribuiscono in modo che la responsabilità degli utilizzi fraudolenti ricada sull’intermediario, salvo frode, dolo o colpa grave del cliente.

Esaminando le evidenze informatiche prodotte, il Collegio osserva che i log dimostrano l’utilizzo del medesimo utente, della stessa postazione e del medesimo token nei giorni antecedenti e successivi alla frode, nonché l’inserimento del codice OTP in fase di autorizzazione. Manca però la prova del secondo fattore (pin/psw firmatario) e dei fattori di autenticazione impiegati in fase di login. In presenza di analoghe evidenze, richiamando i precedenti del Collegio di Milano n. 5156/2025 e del Collegio di Napoli n. 8379/2024, i Collegi territoriali non hanno ritenuto raggiunta la prova dell’autenticazione forte.

Il Collegio ribadisce che la mancata prova dell’autenticazione comporta che la responsabilità gravi integralmente sull’intermediario (Collegio di Bari nn. 2434/2025 e 802/2024, Collegio di Torino n. 3772/2024). Le dichiarazioni confessorie del cliente, pur rilevanti ex art. 2730 c.c., non possono sopperire alle carenze probatorie della banca: il ricorrente ammette di aver installato la app suggerita dal finto operatore, ma nega di aver comunicato le credenziali a terzi. La mancanza della prova di autenticazione è risolutiva e dirimente, costituendo un prius logico rispetto alla valutazione della colpa grave dell’utente (Collegio di Bari nn. 1924/2024 e 802/2024). Il ricorso è pertanto accolto integralmente, con condanna dell’intermediario al pagamento di € 8.700,00, del contributo di € 200,00 alle spese della procedura e del rimborso di € 20,00.