Frode informatica e SCA: onere di allegare la dinamica del man in (ABF n. 8316 del 15.09.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la prova dell’avvenuta autenticazione forte del cliente (SCA) mediante l’inserimento dei fattori di conoscenza e di possesso esonera l’intermediario da responsabilità, salvo che il cliente alleghi e dimostri la sussistenza di indici di anomalia o di rischio frode. Il cliente che qualifichi l’operazione come frutto di man in the browser ha l’onere di produrre documentazione idonea a ricostruire la dinamica della frode e a dimostrare il concorso di colpa dell’intermediario. Una relazione tecnica non sottoscritta, priva di evidenze digitali e di elementi ricostruttivi della catena di eventi, non assolve tale onere. In assenza di prova degli indici di frode di cui al D.M. 112/2007, il ricorso va respinto.

Il Fatto

La società cliente riferisce che l’11 marzo 2026 un familiare, tentando l’accesso all’home banking aziendale, aveva trovato il portale bloccato. Poco dopo perveniva un SMS di conferma di un bonifico istantaneo di € 40.000,00 verso un terzo, operazione mai autorizzata. Il conto veniva immediatamente bloccato e la banca attivava, senza esito, la procedura di recall del bonifico. Seguivano denuncia all’autorità e reclamo, riscontrato negativamente.

Il ricorrente chiede l’accertamento della non autorizzazione dell’operazione, la restituzione dell’importo, la condanna alle spese, la pubblicazione della decisione su quotidiani e il ristoro del danno da tensione di liquidità. L’intermediario eccepisce la colpa grave del cliente per mancata adozione di cautele minime e per difetto di custodia degli strumenti di pagamento, invoca la regolare autenticazione dell’operazione e chiede il rigetto.

La Motivazione della Corte

Il Collegio delimita anzitutto il proprio perimetro cognitivo: la richiesta di pubblicazione della decisione su testate giornalistiche ha natura costitutiva e non rientra nelle competenze dell’ABF, sicché su di essa non si pronuncia. Individua poi la disciplina applicabile ratione temporis nel D. lgs. n. 11/2010, come modificato dal D. lgs. n. 218/2017 di attuazione della direttiva PSD II.

Sul piano probatorio, i log attestano l’inserimento del codice PIN (fattore di conoscenza) e del codice OTP generato dal token (fattore di possesso) tanto per il log-in quanto per la disposizione dell’operazione. Il Collegio richiama la propria giurisprudenza, che in casi analoghi ha ritenuto tali log conformi a SCA, e conclude per la prova dell’autenticazione forte.

Passa quindi all’allegazione del cliente, che ascrive la frode al man in the browser sulla base di una relazione tecnica. Il Collegio ribadisce l’orientamento secondo cui è necessaria una produzione documentale sulla dinamica della frode, richiamando Palermo, dec. 7525/2024 e Coll. Roma, decisione n. 1310/2024, nelle quali il ricorso è stato respinto per inidoneità della documentazione. Nel caso concreto la relazione è priva di sottoscrizione e di evidenze informatiche, e il cliente non ha riferito nulla sulle modalità dell’utilizzo fraudolento oltre a quanto in essa contenuto.

Il Collegio valuta anche la condotta dell’intermediario: contattato, ha tentato il recall del bonifico, senza successo, e ha disposto il blocco del conto tempestivamente, come attestato dalle evidenze prodotte. Il rilievo è dirimente: è il cliente stesso ad ammettere di aver ricevuto l’SMS di conferma dell’esecuzione del bonifico.

Alla luce delle evidenze in atti non risulta provata la sussistenza di alcuno degli indici di anomalia o di rischio frode di cui al D.M. 112/2007, né di ulteriori indici idonei a documentare un concorso di colpa dell’intermediario. Il ricorso, pertanto, non è accolto.