Frode informatica e colpa grave dell’utente: enrollment dell’App e disconoscimento del bonifico (ABF Collegio di Milano n. 1456 del 18.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che, mediante log ed evidenze tecniche, dimostra l’avvenuta autenticazione forte del cliente a due fattori — conoscenza e possesso — nelle fasi di enrollment, accesso e disposizione del bonifico assolve all’onere probatorio postogli dagli artt. 8, 10 e 10-bis del D. Lgs. n. 11/2010, come novellati dal D. Lgs. n. 218/2017. Il rimborso resta tuttavia escluso quando il comportamento dell’utilizzatore integri colpa grave, desumibile da elementi di fatto univoci e convergenti. La responsabilità del cliente non è temperata dalla natura della truffa se questa non presenti i connotati di sofisticatezza e insidiosità propri dell’ID caller spoofing.

Il Fatto

Il ricorrente denunciava, l’11 aprile 2025, di essere stato vittima di una frode informatica realizzatasi il giorno precedente mediante l’esecuzione di un bonifico istantaneo di € 49.499,00. L’operazione era stata disposta accedendo all’area riservata dei servizi di mobile banking dopo l’enrollment dell’App dedicata sul dispositivo dei truffatori.

Il cliente riferiva di essere stato contattato l’8 aprile 2025 da un sedicente operatore della banca, che lo induceva a disinstallare e reinstallare l’App per ragioni di sicurezza. I truffatori carpivano così le informazioni necessarie a registrare l’applicazione su un altro device, dal quale veniva disposto dapprima un giroconto di € 46.999,00 e poi il bonifico contestato. L’intermediario si costituiva sostenendo la regolare contabilizzazione dell’operazione e la colpa grave del cliente, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio richiama il quadro normativo applicabile ratione temporis, costituito dal D. Lgs. n. 11/2010 come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD II. L’onere probatorio si articola su due piani: la prova della regolare autenticazione, registrazione e contabilizzazione dell’operazione, e la prova della frode, del dolo o della colpa grave dell’utente.

Sul primo profilo, l’intermediario produce i log delle singole fasi. L’enrollment sul device dei truffatori risulta autenticato mediante PIN e OTP inviato sul device certificato del cliente; l’accesso all’App mediante codice segreto e validazione del token associato univocamente al dispositivo; l’esecuzione del pagamento mediante Smart Code e conferma della notifica push. Il Collegio richiama la Decisione n. 8671/2024 del Collegio di Coordinamento per escludere dall’obbligo di SCA il giroconto strumentale alla costituzione della provvista.

Il sistema è pertanto ritenuto conforme ai criteri dell’autenticazione forte a due fattori, con conseguente adempimento degli obblighi gravanti sull’intermediario ai sensi dell’art. 8 del D. Lgs. n. 11/2010.

Passando al secondo profilo, il Collegio richiama la Decisione n. 22745/2019 del Collegio di Coordinamento, secondo cui la prova dell’autenticazione non soddisfa di per sé l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto dai quali trarre presuntivamente la colpa grave. Richiamata la nozione elaborata da Cass. civ. n. 14456 del 2001, il Collegio ritiene che nella specie emerga una condotta gravemente colposa del ricorrente.

La responsabilità del cliente non è temperata dalla natura della truffa: alla telefonata truffaldina non si associano gli elementi di insidiosità propri dell’ID caller spoofing, e del resto il ricorrente allega solo screenshot di chiamate in entrata dai quali non è evincibile il numero chiamante. Il ricorso non è pertanto accolto.