Frode informatica e rimborso: onere della prova e colpa grave dell’utente (ABF Collegio di Milano n. 8238 del 11.09.2026)

Principi di diritto (Massima)
Qualora l’utente di servizi di pagamento disconosca un’operazione eseguita, è onere del prestatore di servizi di pagamento provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, nonché fornire la prova della frode, del dolo o della colpa grave dell’utente ai sensi dell’art. 10, commi 1 e 2, d.lgs. n. 11/2010. La conformità del sistema di autenticazione forte del cliente ai sensi dell’art. 10-bis d.lgs. n. 11/2010, unitamente all’assenza di indici di anomalia delle operazioni, soddisfa l’onere probatorio gravante sull’intermediario. La mancata allegazione, da parte del ricorrente, delle circostanze di fatto della frode asserita costituisce elemento dal quale il Collegio può desumere il proprio convincimento in ordine alla colpa grave dell’utente, con conseguente rigetto della richiesta di rimborso.

Il Fatto

Il ricorrente riferisce di avere denunciato di essere stato oggetto di frode informatica riconducibile al fenomeno del c.d. phishing, concretatasi nell’addebito sul proprio conto corrente di un bonifico istantaneo di importo pari a € 3.300,00, disposto mediante accesso in App all’area riservata dei servizi di internet banking dell’intermediario. Disconoscendo l’addebito, il cliente chiede il rimborso della somma di € 3.300,62, comprensiva della commissione di € 0,62, imputando alla banca la responsabilità di non avere impedito la violazione del proprio sistema informatico.

L’intermediario convenuto sostiene la regolare esecuzione dell’operazione, avvenuta a seguito del corretto inserimento delle credenziali previste dal sistema di autenticazione forte (SCA), e deduce la colpa grave del cliente, che con la propria condotta avrebbe cooperato alla realizzazione della truffa consentendo il controllo da remoto del proprio device. Chiede pertanto il rigetto del ricorso.

La Motivazione della Corte

Il Collegio individua la questione nella rimborsabilità della somma sottratta mediante operazione disconosciuta, da valutare alla luce del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. L’onere probatorio si articola su due profili: l’accertamento della regolare autenticazione ed esecuzione dell’operazione e quello dell’eventuale colpa grave dell’utilizzatore.

Quanto al primo profilo, il Collegio richiama l’art. 8, comma 1, lett. a), d.lgs. n. 11/2010 e l’art. 10, comma 1, che pone a carico del prestatore la prova dell’avvenuta autenticazione, registrazione e contabilizzazione dell’operazione. Richiama altresì la definizione di autenticazione forte del cliente di cui all’art. 1, comma 1, lett. q-bis) e l’obbligo di applicarla ai sensi dell’art. 10-bis. Osserva che già prima delle modifiche normative l’orientamento consolidato dei Collegi esigeva la prova dell’autenticazione a due o più fattori.

Nel caso di specie l’intermediario dimostra, tramite i file di log, che il bonifico è stato disposto mediante OTP silente generato a mezzo token software sull’App installata sul device certificato dell’utilizzatore, previo inserimento del codice PIN. Ricorrono dunque il fattore della conoscenza e quello del possesso, tanto nella fase di accesso quanto in quella di esecuzione del pagamento. Il sistema è pertanto conforme ai criteri dell’autenticazione a due fattori e, in assenza di indici di anomalia, l’intermediario ha assolto all’onere probatorio.

Sul secondo profilo, il Collegio richiama la Decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la prova dell’autenticazione non soddisfa di per sé l’onere, essendo necessario indicare gli elementi di fatto dai quali trarre in via presuntiva la colpa grave dell’utente; tale accertamento è tuttavia possibile anche d’ufficio se palesemente emergente dalle dichiarazioni del ricorrente. Richiamata la nozione di colpa grave elaborata dalla Cass. civ. n. 14456 del 2001 e dalla Decisione del Collegio di Coordinamento n. 5304/2013, il Collegio rileva la carenza di allegazioni del ricorrente sulla dinamica della truffa. In presenza di autenticazione provata, sistema conforme alla SCA e assenza di anomalie, tale lacuna costituisce elemento dal quale desumere la colpa grave.

Accertata la corretta autenticazione, registrazione e contabilizzazione dell’operazione e la colpa grave del cliente, il Collegio non accoglie il ricorso.