Frode informatica e man in the browser prova SCA: Collegio accoglie ricorso (ABF Collegio di Milano n. 2682 del 24.03.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento disconosciute trova applicazione la disciplina del d.lgs. n. 11/2010 e l’intermediario deve provare l’adozione di un’autenticazione forte del cliente. Poiché la PSD2 è tecnologicamente neutrale e non impone un sistema standard di tracciatura, la prova della SCA può essere desunta, oltre che dai log, anche da elementi esplicativi forniti dal prestatore di servizi di pagamento e dalle dichiarazioni confessorie del cliente, cui l’art. 2730 c.c. attribuisce valore di prova legale. La frode c.d. man in the browser, per la sua sofisticatezza, non integra di regola la colpa grave del cliente, salvo che emergano ulteriori elementi di inerzia. L’intermediario che ometta di informare il cliente del blocco delle somme e della necessità di un procedimento cautelare risponde del conseguente pregiudizio.

Il Fatto

Il ricorrente, titolare di un rapporto di conto corrente, impartiva un ordine di bonifico SEPA per il pagamento di fatture a un proprio fornitore. Apprendeva in seguito dal fornitore che il pagamento non era pervenuto: dalle verifiche risultava che l’operazione era stata eseguita a favore di un beneficiario diverso e su un IBAN differente da quello indicato.

Le somme venivano bloccate dall’intermediario beneficiario sul conto del terzo destinatario, ma non restituite. Il procedimento penale avviato veniva archiviato proprio perché le somme erano rimaste bloccate. Il ricorrente chiedeva quindi all’intermediario la restituzione dell’importo del bonifico oltre interessi. L’intermediario eccepiva l’irricevibilità del ricorso, l’avvenuta autorizzazione dell’operazione tramite firma elettronica con SCA e la colpa grave del cliente, oltre all’inerzia di quest’ultimo nel recupero delle somme attraverso un separato ricorso ABF.

La motivazione del Collegio

Il Collegio richiama l’orientamento consolidato secondo cui, anche nelle operazioni parzialmente poste in essere dal cliente, trova applicazione la disciplina del d.lgs. n. 11/2010, con la conseguenza che l’intermediario deve provare il doppio fattore di autenticazione. Nel caso concreto i log evidenziano un login mediante OTP generato dal device del cliente e un’indicazione riconducibile all’inserimento del PIN.

Il Collegio osserva che la PSD2 non predetermina un sistema informatico standard per l’inserimento e la tracciatura dei fattori di autenticazione. Pertanto, per valutare l’assolvimento dell’onere della prova, possono essere considerati, oltre ai log, anche ulteriori elementi esplicativi, quali la legenda o quanto rappresentato dal prestatore nelle proprie difese, purché consentano di verificare i singoli passaggi registrati. A ciò si aggiungono le dichiarazioni rese dal cliente in sede di denuncia, alle quali l’art. 2730 c.c. attribuisce valore di prova legale. Ne consegue che la SCA può ritenersi provata.

Accertata l’autenticazione, il Collegio qualifica la frode come man in the browser, tipologia particolarmente sofisticata e insidiosa per l’interposizione di un malware estraneo al controllo dell’utilizzatore. In linea con la decisione del Collegio di Coordinamento n. 3498/12, la condotta del cliente vittima di tale attacco non è di regola connotata da colpa grave, salvo ulteriori elementi di inerzia. Nel caso di specie il cliente ha rilevato le anomalie solo dopo il bonifico e l’intermediario non ha contestato che la modifica dell’IBAN sia dipesa da un virus.

Il Collegio esamina poi la doglianza sull’inerzia dell’intermediario. Quest’ultimo sostiene di aver informato il cliente sulle azioni esperibili con missiva del 02/12/2020, ma la comunicazione richiamata non contiene tali indicazioni: si limita a riferire che la filiale avrebbe fornito supporto. L’intermediario risulta quindi avere omesso di comunicare formalmente al ricorrente, come richiesto dal prestatore del beneficiario, sia l’avvenuto blocco del denaro sia la necessità di avviare un procedimento cautelare per il recupero.

Il Collegio accoglie pertanto il ricorso e dispone che l’intermediario corrisponda al ricorrente la somma di € 17.532,00, oltre interessi legali dal reclamo al saldo, unitamente al rimborso di € 20,00 per il contributo versato, e alla Banca d’Italia € 200,00 quale contributo alle spese della procedura.