Frode informatica e SCA: rimborso della seconda operazione per mancato alert (ABF Collegio di Bari n. 3346 del 16.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’intermediario che eccepisce la colpa grave dell’utente deve anzitutto provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata con un sistema conforme ai criteri della Strong Customer Authentication, con autenticazione a doppio fattore in tutte le fasi dell’operazione. Assolta questa prova, le mancate allegazioni del ricorrente sulle circostanze della frode costituiscono un elemento da cui il Collegio può trarre il convincimento sulla colpa grave dell’utente. Fra i doveri di protezione dell’intermediario rientra però l’onere del servizio di sms alert o assimilabile, dal quale può essere esonerato solo dimostrando l’esplicito rifiuto dell’utente. La mancata attivazione o il mancato funzionamento del servizio sono irrilevanti solo quando la ricezione dell’alert non avrebbe potuto limitare il pregiudizio, come nel caso di una sola operazione o di più transazioni eseguite a pochi minuti di distanza.

Il Fatto

Il ricorrente, esaurita la fase del reclamo, chiede all’Arbitro l’accertamento del diritto alla restituzione di 4.000,00 euro, valore di due bonifici istantanei da 2.000 euro ciascuno che disconosce perché eseguiti da terzi. Riferisce di aver riscontrato il blocco dell’app della banca, di aver verificato presso un ATM e di aver subito bloccato la carta, con denuncia alla polizia postale il giorno successivo.

Si costituisce un IMEL in luogo dell’intermediario, eccependo che le operazioni sono state disposte con modalità compatibili con i criteri SCA, la colpa grave del ricorrente e la disponibilità del servizio di alert; chiede il rigetto del ricorso e contesta la domanda risarcitoria.

La motivazione del Collegio

Il Collegio riconosce la legittimazione passiva dell’intermediario e verifica il sistema di autenticazione. Le operazioni sono state effettuate l’11 maggio 2025, nel vigore del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 e del Regolamento Delegato (UE) n. 2018/389. La disciplina pone sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti delle procedure.

La difesa produce una schermata da cui risulta che entrambe le operazioni sono state autorizzate dallo stesso device, con enrollment risalente al 17.11.2024. Il numero di telefono cui è stato inviato l’OTP per l’enrollment coincide con quello indicato nella denuncia e associato alla carta. Sono inoltre prodotti i log dell’accesso in app e dell’autorizzazione. Non rileva la contestazione sull’indirizzo IP in località distante dalla residenza, perché l’enrollment precede di sei mesi i bonifici e non risultano operazioni disconosciute nel periodo intermedio. La documentazione tecnica è dunque idonea a dimostrare il rispetto dell’art. 10, comma 1, d.lgs. n. 11/2010.

Passando alla colpa grave, il Collegio richiama il proprio orientamento (decisione n. 175/2025): le mancate allegazioni sulla sofisticatezza della frode integrano un elemento valutabile. Nella specie il ricorrente non ha offerto elementi idonei a giustificare un abbassamento della soglia di diligenza nella custodia delle credenziali.

Diversa è la sorte dell’eccezione sul servizio di alert. Il Collegio richiama la decisione del Collegio di Coordinamento n. 24366/2019: l’intermediario è esonerato dal dovere di alert solo dimostrando l’esplicito rifiuto dell’utente. Nel caso concreto l’IMEL non deduce nulla sull’invio degli alert né produce documentazione comprovante invio o ricezione. Poiché i due bonifici sono stati eseguiti a circa un’ora e mezza di distanza, l’alert avrebbe consentito di evitare il secondo. Il Collegio accerta quindi il diritto al rimborso della seconda operazione.

Non è meritevole la doglianza sul monitoraggio: l’art. 8 del D.M. 112/2007 individua come indice di frode almeno tre richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo punto vendita, mentre il disallineamento rispetto alla capacità reddituale non è provato. Le domande risarcitorie, patrimoniale e non patrimoniale, sono rigettate per difetto di supporto probatorio, secondo il principio della decisione del Collegio di Coordinamento n. 1642/2019.

Infine, in applicazione della Sezione VI delle Disposizioni della Banca d’Italia in materia di trasparenza e dell’art. 24, comma 2, d.lgs. n. 11/2010, il Collegio accerta il diritto del ricorrente a ottenere le informazioni idonee a identificare il beneficiario del pagamento contestato.