Frode informatica e colpa grave del correntista nella custodia del PIN (ABF Collegio di Bologna n. 4139 del 08.05.2026)

Principi di diritto (Massima)
Nelle controversie su operazioni di pagamento non autorizzate, grava sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010. Ove tale prova sia fornita mediante dimostrazione dell’autenticazione forte a doppio fattore, la pretesa restitutoria può essere paralizzata dalla colpa grave dell’utilizzatore. La colpa grave nella custodia del PIN si desume per presunzione semplice dal breve lasso temporale tra furto e operazioni e dalla corretta digitazione del codice al primo tentativo. Integra colpa grave anche la custodia negligente dello strumento, come il lasciare la borsa contenente carte e telefono certificato in auto con lo sportello aperto, e l’omessa segnalazione del furto del dispositivo associato all’home banking.

Il Fatto

La ricorrente ha esposto di aver subito, il 26 settembre 2025, il furto della borsa contenente il telefono associato al conto e la carta prepagata, mentre si trovava in una lavanderia e la borsa era rimasta sul sedile dell’auto lasciata aperta. Ha riferito di aver contattato subito la banca per bloccare carta e conto. Nonostante ciò, il ladro ha effettuato due prelievi, di € 250,00 e € 1.500,00, e tre bonifici di € 5.000,00 ciascuno.

La ricorrente ha negato di aver comunicato a terzi le credenziali, ha contestato la mancata adozione dell’autenticazione forte e l’assenza di alert, chiedendo il rimborso delle somme disconosciute. L’intermediario ha replicato che il furto era avvenuto per custodia negligente, che i prelievi erano stati eseguiti a brevissima distanza dal fatto, che la cliente aveva chiesto solo il blocco delle carte senza segnalare il furto dello smartphone certificato e che tutte le operazioni erano state autorizzate con autenticazione forte.

La motivazione del Collegio

Il Collegio ha anzitutto inquadrato la fattispecie nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Ha richiamato il riparto probatorio dell’art. 10, comma 1: se l’utilizzatore nega di aver autorizzato l’operazione, spetta al prestatore di servizi di pagamento provare l’autenticazione, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti.

Dalla documentazione acquisita è emerso che le operazioni sono state eseguite con doppio fattore di autenticazione forte: il fattore di possesso, costituito dalla carta con microchip per i prelievi ATM o dall’app installata sull’apparecchio certificato per i bonifici, e il fattore di conoscenza, ovvero l’inserimento del PIN. L’intermediario ha dunque assolto l’onere probatorio sulla corretta autenticazione.

Il Collegio ha poi esaminato la condotta della titolare, ricavando dagli elementi di fatto la prova presuntiva della colpa grave, secondo l’insegnamento del Collegio di coordinamento, decisione n. 24366/2019. La prova della negligente custodia del PIN può essere raggiunta mediante presunzione semplice desunta dal breve tempo intercorso tra furto e operazioni e dalla digitazione corretta del codice al primo tentativo, come affermato in ABF, Coll. Bologna, decisione n. 6958/2025 e decisione n. 11931/2022.

Nel caso concreto, il furto del telefono certificato ha consentito al ladro di accedere all’area riservata tramite l’app installata, dove era visibile il PIN della carta anch’essa sottratta. La successione degli eventi fa desumere, con elevato grado di probabilità, che il codice fosse conservato unitamente al telefono o alla carta. La colpa grave è stata ravvisata anche nelle modalità del furto, con la borsa lasciata in auto a sportello aperto, e nell’omessa segnalazione, in sede di blocco, del furto del telefono associato all’utenza internet banking.

Il Collegio ha escluso, infine, la ricorrenza degli indici di anomalia di cui all’art. 8 del D.M. n. 112/2007: non vi sono sette o più richieste di autorizzazione nelle ventiquattro ore, né richieste che esauriscano il plafond, né operazioni da Stati diversi in sessanta minuti. I tre bonifici erano diretti a soggetti diversi, circostanza che impedisce di configurare una responsabilità concorrente dell’intermediario. Il ricorso è stato pertanto respinto.