Frode informatica, operazioni di provvista e onere della prova del PSP (ABF Collegio di Palermo n. 4285 del 12.05.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e, se del caso, il comportamento gravemente colposo dell’utilizzatore. La prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave. I pagamenti da e verso lo stesso utente titolare di più conti accesi presso il medesimo intermediario possono essere sottratti all’obbligo della SCA anche quando hanno costituito la provvista di successive operazioni fraudolente, perché il nesso causale con il pregiudizio resta interrotto. Accertata l’autenticazione forte dell’operazione dispositiva e l’assenza di anomalie, la mancata allegazione delle modalità dell’attacco integra una condotta gravemente negligente del cliente.

Il Fatto

Il ricorrente chiede la restituzione di euro 2.182,68, importo di operazioni eseguite da terzi non autorizzati sul suo conto e sulle sue carte. Secondo la ricostruzione offerta, il 2 gennaio 2026 un bonifico di euro 2.250,00 proveniente da un conto terzo è stato accreditato sulla carta n. 9421, poi trasferito su altra carta del ricorrente n. 3949 e quindi utilizzato per un pagamento di euro 2.182,68 su sito di e-commerce.

L’intermediario resiste. Eccepisce che la creazione della provvista non è fonte diretta di perdita patrimoniale, che la ricarica è avvenuta con autorizzazione a mezzo PID dal dispositivo in uso al cliente e che il pagamento e-commerce risulta correttamente autenticato, registrato e contabilizzato, senza malfunzionamenti. Aggiunge che l’utenza telefonica non ha subito modifiche, che il blocco della carta è intervenuto il 3 gennaio 2026 alle ore 15:25, quindi dopo l’operazione contestata, e che il servizio di alert è attivo di default.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2. Richiama l’art. 10 del d.lgs. 11/2010 e la ripartizione dell’onere probatorio: al prestatore di servizi di pagamento spetta dimostrare autenticazione, corretta registrazione e contabilizzazione, assenza di inconvenienti e, eventualmente, la colpa grave dell’utilizzatore. La prova dell’autenticazione precede logicamente quella della colpa.

Dalle evidenze emerge che il bonifico è stato accreditato sulla carta n. 9421, trasferito sulla n. 3949 e speso con quest’ultima: le prime due operazioni hanno costituito la provvista della sola operazione di pagamento verso terzi. Esse non hanno prodotto un effettivo depauperamento, perché la carta di destinazione è dello stesso ricorrente. Il Collegio richiama il principio del Collegio di Coordinamento n. 8671 del 23.07.2024: i pagamenti tra conti del medesimo utente possono essere sottratti all’obbligo della SCA anche se hanno alimentato successive operazioni fraudolente, poiché il nesso causale è interrotto dalla condotta del cliente che dispone personalmente i pagamenti. L’esame resta quindi circoscritto all’operazione dispositiva.

Sull’importo il Collegio rileva una pluralità di cifre discordanti nelle evidenze e, in presenza di tale contraddittorietà, assume il valore indicato nel documento allegato dal ricorrente, pari a euro 2.182,68. L’operazione, eseguita in lira turca, è stata effettuata il 2 gennaio 2026 alle ore 14:33 con la carta n. 3949.

Quanto alla strong customer authentication, il Collegio richiama gli artt. 97 e 98 della PSD2, l’art. 10 bis del d.lgs. 10/2011 e il Regolamento Delegato UE 2018/389. L’enrollment del dispositivo risale al 14 ottobre 2025 e non risultano nuovi enrollment nell’episodio fraudolento. Per il pagamento e-commerce il cliente ha inserito i dati dello strumento e la password e ha autorizzato l’operazione con notifica in app e codice P*ID: i fattori sono il possesso del device e la conoscenza del codice. L’autenticazione forte è dunque provata.

Restava la condotta del ricorrente. Nella denuncia e nella documentazione non sono indicate le modalità dell’attacco informatico: il cliente si limita a negare ogni autorizzazione. Secondo l’orientamento condiviso dei Collegi territoriali, quando il prestatore ha provato l’autenticazione, il sistema è conforme alla SCA, non emergono indici di anomalia e il cliente non allega le circostanze della frode, si configura una condotta gravemente negligente. Irrilevanti le contestazioni sul sistema di alert, trattandosi di un’unica operazione dispositiva. Il ricorso è non accolto.