Frode informatica e onere della prova dell’autenticazione forte nel servizio di pagamento (ABF Collegio di Torino n. 1665 del 24.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute dall’utente, il prestatore di servizi di pagamento è tenuto a provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito malfunzionamenti o altri inconvenienti. L’utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente. La prova dell’autenticazione forte costituisce un prius logico rispetto alla valutazione della frode, del dolo o della colpa grave dell’utente: ove l’intermediario non assolva a tale onere, il ricorso va accolto integralmente e non rileva indagare eventuali profili di colpa del ricorrente.

Il Fatto

La ricorrente lamenta l’addebito di € 11.900,00 sul proprio home banking, derivante da dieci operazioni tra pagamenti nazionali e internazionali e bonifici ordinari e istantanei, asseritamente fraudolente. La vicenda trae origine da una presa di contatto da parte di un sedicente carabiniere e poi di un sedicente funzionario, ai quali la ricorrente — ritenendo di sventare una frode che invece stava subendo — comunicava i propri codici operativi.

Dopo il reclamo del 17 luglio 2025, riscontrato negativamente dall’intermediario il 2 settembre, la ricorrente si rivolge all’Arbitro il 20 settembre 2025 chiedendo il rimborso dell’intero importo. L’intermediario non ha presentato controdeduzioni.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuato nel d.lgs. 27 gennaio 2010, n. 11. Le operazioni contestate rientrano nel suo ambito applicativo, con la conseguenza che grava sull’intermediario, quale prestatore di servizi di pagamento, l’onere probatorio circa l’autenticazione, la registrazione e la contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti delle procedure.

Il Collegio richiama l’art. 10-bis del decreto, che impone modalità di autenticazione forte del cliente quando l’utente accede al conto on-line o dispone un’operazione di pagamento elettronico, con elementi indipendenti riconducibili ad almeno due dei tre fattori della conoscenza, dell’inerenza e del possesso. Sul piano probatorio, l’art. 10, primo e secondo comma, esclude che il mero utilizzo di uno strumento registrato dimostri l’autorizzazione dell’utente, e pone a carico del prestatore la prova della frode, del dolo o della colpa grave. L’art. 11 impone il rimborso, salva la prova dell’autenticazione e dell’assenza di guasti tecnici. Il Collegio non trascura gli obblighi dell’utente ex art. 7, chiamato a usare lo strumento secondo il contratto quadro e a proteggere le credenziali con diligenza.

Nel caso concreto, l’intermediario non ha documentato la corretta autorizzazione dei pagamenti mediante un sistema di autenticazione forte, né l’assenza di anomalie. Tale evidenza documentale è antecedente logico rispetto alla prova della colpa grave: il Collegio esclude pertanto che si possa indagare sugli indizi di colpa della ricorrente, primo fra tutti l’ammissione di aver comunicato i codici al terzo.

Il Collegio richiama i precedenti conformi (Coll. Bologna n. 7648/2022; Coll. Torino n. 13112/2024 e n. 2473/2022), secondo cui la mancanza della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione dei profili di colpa dell’utente. Rileva inoltre che la mancata presentazione delle controdeduzioni contrasta con gli obblighi di correttezza e cooperazione gravanti sull’intermediario (Coll. Milano n. 1762/2016).

Il ricorso è pertanto accolto integralmente: l’intermediario corrisponde alla ricorrente € 11.900,00, la somma di € 200,00 alla Banca d’Italia quale contributo alle spese della procedura e € 20,00 alla ricorrente a rimborso del versamento per la presentazione del ricorso.