Frodi carta credito e prova colpa grave utilizzatore home banking (ABF Collegio di Bari n. 4568 del 20.05.2026)

Principi di diritto (Massima)
Nelle contestazioni di utilizzo fraudolento online di strumenti di pagamento, il prestatore di servizi di pagamento che alleghi la conformità del sistema alla autenticazione forte del cliente e la formale regolarità delle operazioni disconosciute non assolve per ciò solo l’onere probatorio impostogli dagli artt. 10 e 12, comma 2 bis, d.lgs. n. 11/2010. Egli deve indicare specificamente gli elementi di fatto che caratterizzano le modalità esecutive delle operazioni, dai quali possa trarsi la prova, anche presuntiva, del dolo o della colpa grave dell’utilizzatore. In assenza di indici di anomalia e di allegazioni del cliente sulle circostanze della frode asserita, il Collegio può trarre da tale carenza, unitamente ad altri elementi, il convincimento circa la colpa grave del ricorrente e rigettare la domanda di rimborso.

Il Fatto

Il ricorrente, titolare di una carta di credito e di un conto corrente presso l’intermediario, disconosceva tre operazioni di pagamento: € 243,00 del 10 marzo 2025 e due pagamenti di € 1.000,00 e € 1.200,00 eseguiti il 18 marzo 2025 tramite app. Presentava denuncia e chiedeva il rimborso complessivo di € 2.443,00, oltre interessi legali.

Dopo il ricorso, l’intermediario rimborsava l’operazione del 10 marzo 2025 in via commerciale, senza riconoscere responsabilità. Restava controverso solo l’importo di € 2.200,00. La banca sosteneva che le operazioni erano state precedute dall’enrollment di un nuovo dispositivo, autorizzato con credenziali statiche e codice OTS inviato via SMS, e validate con OTP previa digitazione del PIN.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile. Le operazioni rientrano nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017, di recepimento della PSD 2, e sono successive all’entrata in vigore delle norme tecniche sull’autenticazione forte di cui al Regolamento Delegato (UE) n. 2018/389. Il rischio di uso fraudolento grava in prima battuta sull’intermediario, che può sottrarsi al rimborso provando il dolo o la colpa grave dell’utilizzatore.

Il percorso argomentativo muove dall’art. 10, comma 2, d.lgs. n. 11/2010: l’uso di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né la frode o la colpa grave dell’utente. Il Collegio richiama la nozione di autenticazione forte dell’art. 1, lett. q-bis, e l’art. 10-bis, che impone la SCA anche per l’accesso al conto online e per le azioni che comportano rischio di frode. Sul punto richiama l’orientamento del Collegio di Coordinamento (decisioni n. 3947/2014 e n. 22745/2019): la regolarità formale dell’autenticazione non basta a ricondurre l’operazione all’utilizzatore, la cui responsabilità resta circoscritta alla frode o alla colpa grave.

Passando al caso concreto, il Collegio esamina le tracciature informatiche prodotte dalla banca. Ritiene il file excel mezzo idoneo a provare la genuinità delle registrazioni, anche per l’impossibilità dell’Arbitro di disporre CTU. Dalle tracciature emerge che il 18 marzo 2025, alle ore 11:40, è stato registrato l’enrollment di un nuovo dispositivo con inserimento di user, PIN e codice OTS, inviato al numero certificato del ricorrente; che il cliente ha ricevuto una push di alert sull’attivazione dell’app su un nuovo dispositivo; che le due operazioni sono state autorizzate con OTP e PIN su commercio elettronico sicuro, senza anomalie. La carta è stata poi bloccata in via cautelativa.

Il Collegio ritiene quindi provata la conformità alla SCA e la regolarità formale delle operazioni. Tuttavia, secondo l’orientamento richiamato, occorre la specifica indicazione degli elementi di fatto da cui desumere la colpa grave. Nella specie il ricorrente non ha offerto alcun elemento utile alla ricostruzione della truffa, né nella fase prodromica né in sede di reclamo. È priva di pregio la doglianza sulla clonazione della carta, poiché le operazioni sono state eseguite tramite app, senza uso della carta fisica. Non risultano integrati gli indici di frode dell’art. 8 del D.M. n. 112/2007, essendo la carta stata bloccata prima che si verificasse l’indice delle tre o più richieste di autorizzazione nelle ventiquattro ore. Irrilevante, infine, la mancata attivazione degli alert per le due operazioni, eseguite a quattro minuti di distanza.

Il Collegio conclude che la banca ha assolto l’onere probatorio e che le mancate allegazioni del cliente confermano la sua colpa grave. Il ricorso è non accolto.