Frode informatica e vishing: prova dell’autenticazione e colpa grave del cliente (ABF Collegio di Torino n. 2176 del 11.03.2026)

Principi di diritto (Massima)
In materia di utilizzo fraudolento on line di strumenti di pagamento, il prestatore di servizi di pagamento che abbia dimostrato l’autenticazione forte delle operazioni, la loro corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti delle procedure ha assolto l’onere probatorio impostogli dall’art. 10, d.lgs. n. 11/2010. La prova dell’autenticazione costituisce antecedente logico rispetto all’accertamento della colpa grave dell’utilizzatore. La mancata allegazione, da parte del cliente, del registro chiamate o dell’sms civetta giustifica il rigetto del ricorso, perché non consente di verificare se il chiamante o il mittente sia riconducibile all’intermediario e se sussista un legittimo affidamento dell’utente.

Il Fatto

Il ricorrente riferisce di aver eseguito, tramite home banking, un bonifico a titolo di acconto per bloccare l’acquisto di un ciclomotore. Circa dieci minuti dopo riceveva una telefonata da un numero recante la dicitura dell’intermediario: l’interlocutore lo avvertiva che l’importo era stato destinato a un conto fraudolento e gli comunicava l’invio di codici per impostare una nuova password in sostituzione. Il cliente chiudeva la telefonata e contattava subito l’intermediario per chiedere il blocco.

Risultava comunque un prelievo di € 9.880,00 mediante due bonifici, di € 4.980,00 e € 4.900,00. Il ricorrente ne chiedeva il rimborso. L’intermediario eccepiva che le operazioni erano state autorizzate dal device del truffatore a seguito di phishing/vishing, con installazione di una nuova app resa possibile dalla comunicazione dei codici ricevuti via sms, e di aver adottato presidi di sicurezza e campagne di sensibilizzazione.

La motivazione del Collegio

Il Collegio richiama il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, applicabile ratione temporis, e ricorda il regime probatorio di favore per l’utente. L’art. 10 impone al prestatore una sequenza graduata: dimostrare autenticazione, corretta registrazione e contabilizzazione delle operazioni, assenza di malfunzionamenti; solo in un secondo momento provare la colpa grave dell’utilizzatore.

Nel caso concreto l’intermediario ha prodotto i log di accesso all’internet banking, di associazione del nuovo dispositivo e di autenticazione delle transazioni, con le relative legende. Ha documentato l’accesso da nuovo device alle ore 15:52 mediante password, il secondo fattore costituito dal codice OTP inviato via sms al recapito in anagrafica — con l’avviso di non comunicarlo e di non renderlo agli operatori — e la fase di enrollment dell’app, autenticata con PIN e OTP. Ha inoltre allegato la notifica di alert inviata al cliente circa l’installazione sull’altro dispositivo.

Il Collegio precisa che, ai fini dell’applicazione della PSD2, è sufficiente che il cliente neghi di aver autorizzato la transazione; solo una volta verificata la SCA il Collegio può valutare le mancate allegazioni del ricorrente per formare il convincimento sulla colpa grave. Nella specie la Strong Customer Authentication risulta provata e non emergono indici di anomalia delle operazioni.

Il ricorrente, però, non ha prodotto alcuna evidenza sulle modalità dell’utilizzo fraudolento: nessun registro chiamate, nessun messaggio. L’orientamento condiviso dei Collegi esige tali allegazioni proprio per verificare la riconducibilità del chiamante all’intermediario e l’affidamento dell’utente. La pretesa non può quindi essere accolta e il ricorso è respinto.