Frode telematica e bonifico: autenticazione SCA e colpa grave del correntista (ABF Collegio di Palermo n. 5001 del 03.06.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento da remoto, il prestatore di servizi di pagamento è tenuto a provare l’esatta autenticazione informatica dell’operazione e, conseguentemente, la colpa grave o il dolo dell’utente. Ove il PSP dimostri che la disposizione e l’innalzamento dei limiti operativi sono stati eseguiti tramite l’App del dispositivo in uso al cliente con Strong Customer Authentication e fattore biometrico, l’operazione è regolarmente autenticata. La mancata allegazione di circostanze idonee a comprovare la sofisticazione del raggiro e il consapevole superamento dell’alert di sicurezza relativo alla discrepanza dell’IBAN integrano colpa grave e precludono il rimborso.

Il Fatto

Il ricorrente riferisce di essere stato vittima di una frode telematica e telefonica. Sedicenti operatori di un centro assistenza, qualificatisi come addetti di un intermediario diverso da quello presso cui intrattiene il conto, lo inducevano a completare una procedura di configurazione del dispositivo. Nel corso di un secondo contatto il dispositivo subiva un anomalo riavvio; durante una successiva chiamata, con la scusa di ultimare l’autenticazione, ignoti disponevano un bonifico fraudolento verso un IBAN estero, indicando quale beneficiario il nominativo del ricorrente stesso.

Il cliente contesta l’operato dell’intermediario sotto due profili: i sistemi antifrode avrebbero dovuto intercettare l’operazione per le anomalie rilevabili e sarebbe stata violata la disciplina sulla verifica di congruenza tra IBAN e intestatario (VoP); inoltre la banca, trattandosi di bonifico ordinario e non istantaneo, avrebbe avuto il tempo di revocare l’ordine. Chiede quindi il rimborso della somma, con interessi e spese. L’intermediario eccepisce il difetto di allegazione e, nel merito, sostiene che la frode si è consumata grazie alla collaborazione del cliente, che avrebbe confermato l’operazione nonostante l’avviso di discrepanza dell’IBAN.

La motivazione del Collegio

Il Collegio richiama l’art. 10 del D.Lgs. n. 11/2010, che ripartisce gli oneri probatori in caso di disconoscimento di operazioni da remoto: il PSP deve provare l’esatta autenticazione informatica e, successivamente, l’eventuale colpa grave o dolo dell’utente. Nel caso concreto il primo onere è assolto. I log informatici attestano che l’intera sequenza si è svolta nel rispetto della procedura di Strong Customer Authentication: sia la modifica in aumento dei limiti operativi, sia la disposizione e l’autorizzazione del bonifico ordinario sono state eseguite dall’App installata sul dispositivo abitualmente in uso al ricorrente, con validazione del fattore biometrico, coniugando i presidi di possesso e inerenza. L’operazione è quindi regolarmente autenticata.

Acquisita tale prova, l’indagine si sposta sulla colpa grave. Il ricorrente non introduce elementi utili a valutare la propria condotta, limitandosi al generico diniego di aver ceduto credenziali a terzi. Difettano allegazioni idonee a dimostrare un livello di sofisticazione del raggiro tale da eludere l’ordinaria diligenza. Secondo i consolidati orientamenti arbitrali, questa carenza probatoria fonda il convincimento circa la colpa grave, consistita in una determinante, ancorché involontaria, cooperazione materiale all’illecito.

Il Collegio disattende anche la censura sulla violazione del Regolamento (UE) 2024/886: la banca ha comprovato di aver reso operativo il servizio di VoP, che prevede un blocco in caso di parziale o mancata corrispondenza dei dati del beneficiario, superabile solo con esplicita assunzione di responsabilità dell’ordinante. Le evidenze certificano che il sistema ha intercettato l’incongruenza anagrafica, ma il ricorrente ha scientemente confermato l’ordine eludendo l’avviso: il volontario superamento di uno specifico alert di sicurezza costituisce colpa grave.

Quanto alla dedotta anomalia dell’operazione, il Collegio ricorda che la legge n. 166/2005 e il D.M. n. 112/2007 hanno codificato un sistema di presidi antifrode con indici sintomatici di natura esemplificativa, da cui i Collegi fanno discendere un più ampio obbligo di monitoraggio, comprensivo delle deviazioni rispetto alla movimentazione storica. Nel caso concreto mancano però elementi oggettivi di anomalia: si tratta di un unico bonifico, senza reiterazione, con causale congrua e beneficiario coincidente con il ricorrente, tale da simulare un fisiologico trasferimento di liquidità personale e da non innescare blocchi cautelari. Il sistema di alert ha funzionato senza rilevare anomalie. Il ricorso è pertanto rigettato.