Frode informatica: SCA provata ma responsabilità del PSP per omesso sms alert (ABF Collegio di Bari n. 3524 del 22.04.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che intenda sottrarsi all’obbligo di rimborso delle operazioni non autorizzate deve provare, ai sensi dell’art. 10 d.lgs. n. 11/2010, non solo l’avvenuta autenticazione forte delle transazioni, ma anche la sussistenza della frode, del dolo o della colpa grave dell’utilizzatore. La produzione dei log e delle difese è idonea a dimostrare la conformità del sistema alla SCA e il corretto funzionamento dell’infrastruttura, ma non esaurisce l’onere probatorio sulla colpa grave. Le mancate allegazioni del cliente sulle modalità della frode costituiscono elemento di convincimento in tal senso. Tuttavia, l’intermediario che non deduca né provi l’attivazione del servizio di sms alert o di strumenti equivalenti pone in essere una disfunzione organizzativa che, in presenza di operazioni fraudolente ravvicinate, integra una responsabilità concorrente. La colpa grave dell’utente non esime, quindi, il prestatore dai suoi obblighi di protezione.

Il Fatto

La ricorrente, titolare di un conto funzionale all’attività della propria impresa, il 22/10/2025 accedeva all’home banking e constatava l’esecuzione di due bonifici istantanei di € 4.500,00 e € 1.736,00, disposti a favore di terzi sconosciuti. La cliente negava di aver ceduto a estranei le credenziali e di aver ricevuto i codici OTP per le operazioni, ipotizzando un malfunzionamento del sistema informatico dell’intermediario. Chiedeva il rimborso di € 6.236,00 e la rifusione delle spese legali.

L’intermediario, costituitosi, ricostruiva analiticamente i log di sistema: la certificazione di un nuovo dispositivo tramite OTP inviata via SMS al numero della cliente, il successivo login e l’autorizzazione dei bonifici mediante notifica push e PIN. Eccepiva la colpa grave della ricorrente per negligente cooperazione con i frodatori e la mancanza di allegazioni sulla tecnica truffaldina. In subordine, chiedeva graduarsi la responsabilità ai sensi dell’art. 1227 c.c.

La motivazione del Collegio

Il Collegio esamina anzitutto la questione dell’onere probatorio gravante sul prestatore di servizi di pagamento. Richiamando l’orientamento condiviso dei Collegi, si ricorda che la PSD2 è tecnologicamente neutrale e non impone un sistema informatico standard per la tracciatura dei fattori di autenticazione. Ai fini della prova sulla SCA possono quindi utilizzarsi, oltre ai log, le legende e le difese esplicative dell’intermediario, purché consentano di verificare analiticamente i singoli passaggi.

Nel caso concreto, la ricostruzione documentale evidenzia una sequenza coerente: certificazione del nuovo device, login e autorizzazione delle operazioni mediante fattori di conoscenza e di possesso. Il Collegio ritiene pertanto dimostrato il corretto funzionamento del sistema di autenticazione forte, con assolvimento dell’onere di cui all’art. 10 d.lgs. n. 11/2010 quanto alla regolarità formale.

Quanto alla colpa grave dell’utilizzatrice, il Collegio richiama il principio di diritto del Collegio di Coordinamento n. 22745/2019: la sola produzione documentale sull’autenticazione non soddisfa l’onere di provare dolo o colpa grave dell’utente, essendo necessari elementi di fatto sulle modalità esecutive. Nella specie, la ricorrente non ha descritto la tecnica della frode, limitandosi a disconoscere le operazioni; ha ricevuto solo due OTP e ha fatto generico riferimento a un “link arrivato via mail”. Tali mancate allegazioni, in presenza di un sistema conforme alla SCA e di operazioni non anomale, fondano il convincimento sulla colpa grave.

Il Collegio rileva, però, che l’intermediario non ha dedotto né documentato l’invio di sms alert relativi alle operazioni. Richiamando il Collegio di Coordinamento n. 24366/2019, si afferma che la fornitura del servizio di allerta rientra tra gli obblighi di protezione dell’utente, e l’esonero richiede la prova dell’esplicito rifiuto. Le operazioni contestate sono state eseguite a distanza di circa venti minuti l’una dall’altra; l’attivazione del presidio avrebbe verosimilmente consentito di evitare almeno la seconda. Il mancato funzionamento integra quindi una disfunzione organizzativa imputabile all’intermediario, con responsabilità concorrente.

Il Collegio accoglie parzialmente il ricorso, condannando l’intermediario alla restituzione di € 1.736,00 relativa alla seconda operazione. Quanto alle spese legali, richiamata la decisione del Collegio di Coordinamento n. 4580/2025, ne ammette la liquidazione equitativa in € 200,00, in considerazione della complessità della controversia.