Frodi informatiche su bonifici istantanei (ABF Collegio di Palermo n. 2907 del 01.04.2026)

Principi di diritto (Massima)
L’intermediario che abbia correttamente applicato la strong customer authentication nelle fasi di enrollment e di disposizione è esente da responsabilità per l’addebito delle operazioni, salvo che il sistema di alert non si sia attivato tempestivamente. Il mancato funzionamento o il funzionamento tardivo dei sistemi di avviso rileva quale autonoma causa di responsabilità quando le operazioni fraudolente sono collocate oltre l’arco temporale entro cui l’avviso avrebbe potuto impedire o contenere il pregiudizio. Il Collegio conferma la soglia dei cinque minuti quale limite oltre il quale l’invio dell’alert avrebbe consentito all’utente di bloccare le operazioni successive. Sussiste inoltre responsabilità dell’intermediario per il mancato rilevamento degli indici di anomalia ex DM 11/2007, con restituzione delle operazioni effettuate in presenza di tali indici nella misura del 20%.

Il Fatto

La ricorrente, in soggiorno all’estero, subiva il 6.7.2025 una prima frode informatica, con prelievi tramite money transfer e ricariche su carta prepagata; numerosi tentativi di bonifico verso iban esteri fallivano per esaurimento del plafond. L’intermediario rimborsava complessivamente 1.400 euro delle operazioni di quella data. Successivamente, dopo il blocco delle carte, il conto restava operativo: in particolare il 14.7.2025 veniva eseguito un bonifico istantaneo di 1,00 euro e, a distanza di pochi minuti, un secondo bonifico di 1.350,00 euro che azzerava la disponibilità. La ricorrente chiedeva il rimborso del residuo di 1.351,00 euro, contestando la violazione degli obblighi di diligenza professionale dell’intermediario.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366, e richiama gli artt. 97 e 98 PSD2, l’art. 10-bis del decreto e il Regolamento delegato UE 2018/389 in materia di strong customer authentication. L’intermediario ha l’onere di provare l’adozione di procedure di autenticazione conformi, salvo che l’operazione sia stata direttamente autorizzata dal cliente. Nel caso concreto i log informatici dimostrano l’applicazione del doppio fattore sia in fase di enrollment dell’app su nuovo dispositivo, sia nelle fasi dispositive dei due bonifici, con fattore biometrico e possesso del device validato.

Accertata la regolarità dell’autenticazione, il Collegio passa alla valutazione del profilo di colpa grave della ricorrente, ricordando che la prova dell’autenticazione costituisce prius logico rispetto all’esame del comportamento dell’utente, secondo il costante orientamento dei Collegi richiamato nella decisione n. 22745/2019 del Collegio di Coordinamento. Il Collegio rileva che la sequela dei fatti non consente di ricostruire l’esatta dinamica della truffa, ma evidenzia una reazione allarmistica della ricorrente, che ha più volte richiesto il blocco del conto; il blocco viene documentato dalla mail del 14.7.2025, ma la banca ha mantenuto il conto attivo, come prova il successivo bonifico in entrata di 0,71 euro.

Sul fronte degli alert, i log informatici mostrano che l’email di enrollment è stata inviata il 12.7.2025, che per il bonifico di 1,00 euro non esistono sistemi di alert attivi e che per il bonifico di 1.350,00 euro sono state recapitate comunicazioni via SMS solo alle 16:38 e via email alle 01:47, a fronte di operazioni eseguite alle 16:08 e alle 16:34. Il Collegio ritiene il sistema di alert tardivo e richiama l’orientamento consolidato secondo cui il mancato invio dell’sms-alert è irrilevante solo se le operazioni si collocano entro un arco temporale di cinque minuti, citando le decisioni n. 4125/2025, n. 2495/2024 e n. 13261/2020. Di conseguenza, la banca è tenuta a restituire l’intero importo della seconda operazione, pari a 1.350,00 euro.

Il Collegio ravvisa inoltre una responsabilità per mancato rilevamento degli indici di anomalia ex DM 11/2007: il 14.7.2025, oltre al bonifico andato a buon fine, sono stati effettuati tre tentativi di bonifico verso il medesimo beneficiario. Richiamando la decisione n. 4200/2024 e la decisione n. 12488/2024 del collegio territoriale, il Collegio afferma che le operazioni effettuate in presenza di indici di anomalia vanno restituite nella misura del 20%, salvo diversa distribuzione del concorso di colpa, e che, in caso di simultanea sussistenza dell’obbligo di restituzione integrale per difetto di alert, la banca deve rimborsare anche il 20% della prima operazione. Il dispositivo condanna quindi l’intermediario alla restituzione di 1.350,20 euro (1.350,00 per l’alert tardivo e 0,20 quale 20% del bonifico di 1,00 euro), oltre al contributo di 200 euro alla Banca d’Italia e al rimborso di 20 euro alla ricorrente.