Frode informatica su home banking: onere probatorio dell’intermediario e alert assenti (ABF Collegio di Palermo n. 840 del 29.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario deve provare l’avvenuta autenticazione della singola operazione, la sua corretta registrazione e contabilizzazione nonché l’assenza di malfunzionamenti. La prova dell’autenticazione costituisce un prius logico rispetto alla valutazione dell’eventuale colpa grave dell’utente: se la prova manca, anche parzialmente, il ricorso va accolto senza esame dell’elemento soggettivo. L’attivazione di sistemi di alert sulle operazioni sospette integra un autonomo profilo di responsabilità dell’intermediario, salvo che l’utente vi abbia esplicitamente rinunciato.

Il Fatto

Il ricorrente, titolare di un conto corrente acceso presso un intermediario, chiedeva all’ABF il rimborso di € 10.190,00 corrispondenti a due operazioni disconosciute: un bonifico di € 7.200,00 e un pagamento online di € 2.990,00. Esponeva di essere stato contattato telefonicamente da soggetti qualificatisi come operatori della banca, i quali, conoscendo i suoi dati e un precedente contatto con il servizio clienti, lo inducevano a installare un presunto programma di sicurezza mediante l’impronta digitale, durante una telefonata nel corso della quale il dispositivo restava bloccato.

L’intermediario resisteva sostenendo che le operazioni erano state correttamente autorizzate con autenticazione forte a due fattori dall’abituale dispositivo del cliente, verosimilmente a seguito di malware installato sul suo smartphone, e invocava la colpa grave dell’utente. Contestava, inoltre, che si trattasse di truffa particolarmente sofisticata.

La motivazione del Collegio

Il Collegio osserva preliminarmente che le operazioni ricadono nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Richiama gli artt. 7, 8, 10, 10-bis e 12 del d.lgs. n. 11/2010 e la normativa secondaria di vigilanza, individuando nell’art. 10 la regola sull’onere probatorio a carico dell’intermediario.

Quanto al pagamento e-commerce, il resistente aveva descritto la procedura di autenticazione basata su credenziali statiche, CVV dinamico e conferma con OTP o Token. Il Collegio rileva però l’assenza dei file log attestanti l’inserimento delle credenziali e del CVV dinamico e la conferma con Token: l’unica evidenza è una dicitura generica che, secondo la legenda, indicherebbe un’autenticazione con doppio fattore. Tale prova è ritenuta insufficiente.

Il Collegio afferma che la mancanza, anche parziale, della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione della colpa del cliente. Il prius logico della prova di autenticazione, in aderenza al dato normativo, prevale sull’accertamento della colpa grave. Il principio vale anche nei casi di phishing conclamato in cui l’intermediario non abbia assolto all’onere probatorio, indipendentemente dalle allegazioni del ricorrente. Il pagamento di € 2.990,00 va pertanto rimborsato integralmente.

Quanto al bonifico di € 7.200,00, il Collegio riconosce che dalla documentazione risultano i codici relativi al riconoscimento biometrico e alla Conferma con Token, idonei a integrare l’autenticazione forte. Rileva tuttavia l’assenza di evidenze sull’offerta o sull’attivazione di sistemi di alert per le operazioni contestate. La mancata attivazione del servizio di sms alert, o di altro assimilabile come la notifica in app o l’e-mail, costituisce di regola un autonomo profilo di responsabilità dell’intermediario, salvo l’esplicito rifiuto dell’utente. Anche tale importo va dunque rimborsato.

Il Collegio accoglie integralmente il ricorso e dichiara l’intermediario tenuto alla restituzione complessiva di € 10.190,00, oltre al contributo alle spese della procedura e al rimborso della somma versata per il ricorso.