Frode informatica e bonifico disconosciuto: SCA provata e colpa grave dell’utente (ABF Collegio di Milano n. 3210 del 10.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, l’art. 11 del d.lgs. n. 11/2010 e il Provvedimento attuativo della Banca d’Italia del 05.07.2011 pongono a carico dell’intermediario la prova dell’autenticazione forte (SCA), della corretta registrazione e contabilizzazione dell’operazione, nonché la prova dei fatti idonei a integrare la colpa grave dell’utilizzatore. La SCA richiede almeno due fattori tra conoscenza, inerenza e possesso, reciprocamente indipendenti, sia in fase di accesso sia in fase di esecuzione. Ove l’intermediario dimostri l’avvenuta autenticazione mediante dispositivo certificato e codice segreto, la negligenza del cliente rileva solo se l’intermediario abbia provato la scrupolosa osservanza del sistema di SCA e la predisposizione di congegni di alert. Costituisce colpa grave dell’utente l’installazione di un’applicazione che consenta a terzi l’accesso da remoto al proprio dispositivo.

Il Fatto

La parte ricorrente riferisce di essere stata vittima di una frode conseguente all’hackeraggio del proprio telefono cellulare, tramite la quale ignoti avrebbero disposto un bonifico di € 1.200,00, operazione per la quale assume di non aver ricevuto alcuna notifica. Chiede pertanto il rimborso dell’importo.

L’intermediario controdeduce che il bonifico è stato inserito e autorizzato dall’utente tramite l’applicazione mobile installata sul dispositivo certificato, previa autenticazione forte, senza violazioni o compromissioni del servizio di internet banking. Evidenzia che la parte ricorrente non ha spiegato l’accaduto, ipotizzando un controllo da remoto del dispositivo solo in orario serale, mentre il bonifico era stato autorizzato diverse ore prima, e che non risulta smarrimento o furto del dispositivo. Chiede il rigetto del ricorso e, in via subordinata, la ripartizione delle somme ex art. 1227 c.c.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nell’ambito del d.lgs. n. 11/2010 e del Provvedimento attuativo della Banca d’Italia, ricostruendo i due passaggi ineludibili sul piano degli oneri probatori. Da un lato, spetta all’intermediario provare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute, tenendo conto che la SCA è richiesta tanto nella fase di accesso quanto in quella di esecuzione e si realizza con almeno due dei tre fattori di conoscenza, inerenza e possesso, indipendenti tra loro. Dall’altro, è sempre l’intermediario a dover provare i fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi in cui, oltre al dolo, questi può subire le conseguenze dell’utilizzo fraudolento.

Passando all’esame della prova, il Collegio rileva che l’operazione è stata realizzata tramite il dispositivo certificato della parte ricorrente, registrato il 23.11.2025. Dai log prodotti emerge che l’accesso è avvenuto alle ore 00:23 del 02.12.2025 mediante l’app mobile, senza anomalie, con l’utilizzo del device certificato (fattore di possesso) e la corretta digitazione del codice segreto a cinque cifre SmartPin (fattore di conoscenza). Il bonifico è stato poi autorizzato alle ore 00:41, nella medesima sessione, con la combinazione dei medesimi fattori. Il Collegio ritiene pertanto provata la SCA da parte dell’intermediario in entrambe le fasi.

Il Collegio verifica quindi la sussistenza della colpa grave e l’eventuale concorso di colpa dell’intermediario. La parte ricorrente ha dichiarato di aver scaricato circa una settimana prima l’aggiornamento di un’applicazione denominata “PlayService”, per poi accorgersi del controllo remoto del proprio dispositivo solo nel pomeriggio del 02.12.2025. Tale condotta, consistente nell’installazione di un’applicazione che ha reso possibile l’accesso da parte di terzi al dispositivo, è ritenuta dal Collegio connotata da colpa grave. Non si ravvisa alcun concorso causale dell’intermediario, che ha anche tentato il recall del bonifico con esito negativo per fondi insufficienti: la richiesta è pervenuta solo il 05.12.2025, a fronte di un’operatività del 02.12.2025 con valuta beneficiario 03.12.2025, lasso temporale sufficiente ai truffatori per distrarre le somme.

Quanto alla lamentata assenza di alert, il Collegio richiama l’orientamento consolidato dei Collegi secondo cui la mancata attivazione o il mancato funzionamento del servizio di sms-alert è irrilevante in ipotesi di esecuzione di una singola operazione di pagamento fraudolenta, non potendo la ricezione dell’avviso limitare in concreto il pregiudizio dell’utente. In ogni caso, l’intermediario ha prodotto evidenza documentale di una notifica di alert inviata tramite modalità push in data 02.12.2025. Ritenuta provata la SCA e sussistente la colpa grave, il ricorso non è accolto.