Frode informatica e obblighi di monitoraggio dell’intermediario (ABF Collegio di Milano n. 4835 del 28.05.2026)

Principi di diritto (Massima)
La conformità delle operazioni di pagamento alla strong customer authentication prevista dal d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE, costituisce un prius logico rispetto alla valutazione della condotta del cliente, ma non esaurisce il giudizio sulla colpa grave. Il prestatore di servizi di pagamento è tenuto a un generale obbligo di monitoraggio delle operazioni: i principi del D.M. n. 112/2017, pur privi di valore precettivo diretto in materia di disconoscimento, rappresentano elementi utili per valutare la sua condotta in presenza di un’operatività anomala rispetto alle movimentazioni storiche del cliente. Il rischio di frode si configura, tra l’altro, quando siano effettuate più richieste di autorizzazione presso un medesimo punto vendita nelle ventiquattro ore. In tal caso il cliente ha diritto alla ripetizione del controvalore delle operazioni eccedenti la soglia di anomalia.

Il Fatto

Il ricorrente lamentava di essere stato vittima di una truffa articolata: due sedicenti operatori dell’intermediario lo avevano contattato telefonicamente rappresentandogli un fantomatico passaggio di utenza da un dispositivo all’altro, lo avevano indotto ad accedere a un sito identico a quello della banca e a scaricare un’applicazione, per poi carpirne le credenziali. Solo al termine si accorgeva che il telefono era in blocco e che sul conto erano state eseguite operazioni per complessivi € 7.485,00: un giroconto di € 7.490,00 dal proprio ulteriore conto, seguito da sei transazioni e un bonifico istantaneo verso conti esteri.

L’intermediario resisteva sostenendo la corretta autenticazione delle operazioni e la colpa grave del cliente, che aveva volontariamente inserito le credenziali in ambiente non ufficiale e seguito le istruzioni dei frodatori. Il ricorrente replicava che la regolarità formale della SCA non equivale ad autorizzazione sostanziale quando la volontà del pagatore è viziata da inganno.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina degli artt. 97 e 98 della direttiva PSD2 e dell’art. 10-bis del d. lgs. n. 11/2010, unitamente al Regolamento Delegato UE 2018/389, rilevando che la SCA si realizza mediante almeno due fattori indipendenti tra conoscenza, inerenza e possesso. Le tracciature informatiche confermavano i log-in tramite credenziali biometriche e app installata sul dispositivo associato in via esclusiva al conto, nonché la convalida della notifica push per il bonifico istantaneo. Le cinque operazioni online risultavano parimenti autenticate, atteso che lo stesso cliente ammetteva l’inserimento dell’ID biometrico.

Accertata la conformità a SCA, il Collegio verifica la colpa grave, richiamando il proprio orientamento secondo cui la prova di autenticazione rappresenta un prius logico (Coll. coord. n. 22745/2019). La mancata allegazione del registro delle chiamate, che il ricorrente giustificava con un presunto reset totale del dispositivo, non consentiva di verificare la riconducibilità dei numeri all’intermediario né un legittimo affidamento dell’utente. Il Collegio escludeva altresì la configurabilità del money muling, poiché le somme provenivano da un conto dello stesso cliente e non da un conto terzo.

Ciò nonostante, il Collegio valorizza una circostanza di fatto decisiva: le cinque operazioni online erano state effettuate presso il medesimo punto vendita, un sito truffaldino di criptovalute. Richiamando il D.M. n. 112/2017, e in particolare l’art. 8, il Collegio rileva che si configura rischio di frode quando siano effettuate tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita. Tali indici risultavano integrati, con conseguente obbligo di rilevazione in capo all’intermediario in presenza di operatività anomala rispetto alle movimentazioni storiche.

Il ricorso è pertanto accolto parzialmente, con riconoscimento del diritto alla ripetizione del controvalore delle ultime tre operazioni, per complessivi € 2.994,00, oltre al rimborso di € 20,00 per la presentazione del ricorso e alla corresponsione di € 200,00 alla Banca d’Italia quale contributo alle spese della procedura.