Frode informatica su carta di debito e onere di allegazione del cliente (ABF Collegio di Roma n. 1022 del 04.02.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento a distanza, grava sull’intermediario la prova dell’autenticazione forte (SCA), della corretta registrazione e contabilizzazione dell’operazione, nonché dei fatti idonei a integrare la colpa grave dell’utilizzatore. Ove la banca dimostri l’adozione di un sistema a due fattori, con codice PIN e codice OTP inviato via SMS, l’operazione si presume autenticata. Sul cliente grava allora un onere di allegazione delle circostanze che offrano almeno una attendibile ipotesi alternativa alla riconducibilità dell’operazione al titolare. Le mancate allegazioni del ricorrente sulla genesi della frode possono fondare il convincimento del Collegio in ordine alla colpa grave e giustificare il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente rappresenta che in data 25 gennaio 2025, tramite la carta di debito associata al proprio conto corrente, veniva eseguito un pagamento online su una piattaforma di compravendita di criptovalute. Secondo la sua ricostruzione, mentre si perfezionava il pagamento si accorgeva che lo smartphone era inaccessibile perché compromesso da un attacco informatico e controllato da remoto da terzi. Il PIN sarebbe stato aggirato e gli estremi della carta ottenuti in maniera impropria. Nel corso della notte il dispositivo vibrava ripetutamente e non rispondeva ai comandi; dalla APP bancaria sul computer constatava poi la presenza di un’operazione non autorizzata.

La banca resistente eccepisce di aver adottato un sistema di autenticazione a due fattori, con PIN e OTP inviato via SMS, di aver inviato l’SMS alert di esito autorizzato e di aver allertato il cliente, che avrebbe confermato l’operazione. Sostiene l’assenza di elementi tecnici idonei a comprovare l’intervento di un hacker e l’insufficienza delle allegazioni del ricorrente. Questi chiede il rimborso di 1.850,00 euro; la banca insiste per il rigetto.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017, che ha recepito la Direttiva 2015/2366/UE (PSD 2), richiamando la propria giurisprudenza (Coll. Coord., dec. n. 22745 del 2019). Individua due profili dirimenti: la prova dell’autenticazione da parte dell’intermediario e la prova della colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’utilizzo fraudolento.

Sul primo profilo, il Collegio rileva che l’operazione è stata autorizzata mediante inserimento del codice OTP inviato via SMS al numero del ricorrente, quale fattore di possesso, e del PIN collegato alle credenziali di accesso ai servizi online, quale fattore di conoscenza. L’operazione appare pertanto conforme al Sistema di autenticazione forte, e la banca ha dato prova di essersi dotata di un sistema in linea con la normativa di settore.

Sul secondo profilo, il Collegio valorizza quanto emerge dalla denuncia: tra le ore 01:00 e le ore 02:00 il cellulare vibrava e non rispondeva ai comandi; alle ore 01:53 il ricorrente riceveva un SMS genuino con il codice OTP per confermare il pagamento di 1.850,00 euro; la carta veniva bloccata alle ore 03:16, circa un’ora dopo la frode. Il ricorrente non chiarisce però se abbia concesso ai frodatori il controllo da remoto né se abbia installato una APP di terze parti, e non fornisce elementi utili sulla genesi della frode.

Il Collegio richiama quindi il principio secondo cui grava sul ricorrente un onere di allegazione delle circostanze che offrano almeno una attendibile ipotesi alternativa all’utilizzo imputabile al titolare (Coll. Roma, dec. n. 10723 del 2019), dovendo egli fornire elementi utili a provare che l’operazione sia realmente fraudolenta (Coll. Roma, dec. n. 299 del 2020). Quando la banca abbia offerto la prova dell’autenticazione, le mancate allegazioni del cliente rappresentano un elemento da cui il Collegio trae il proprio convincimento sulla colpa grave (Coll. Roma, dec. n. 8058 del 2022). Il ricorso è pertanto respinto.