Monitoraggio operazioni anomale obbligo del prestatore di servizi di pagamento (ABF Collegio di Palermo n. 3965 del 05.05.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che invochi la colpa grave del cliente deve anzitutto provare la corretta autenticazione forte dell’accesso all’area riservata e delle singole disposizioni. Superato tale onere, la frode realizzata mediante smishing, con messaggio non inserito nella conversazione genuina e con numero del mittente estraneo alla banca, integra una condotta imprudente dell’utente. Resta tuttavia fermo l’obbligo del prestatore di monitorare l’operatività e di intercettare gli indicatori di anomalia, tra cui la concentrazione di più richieste di autorizzazione in un arco temporale ravvicinato. L’omesso rilevamento di tale anomalia comporta la restituzione parziale delle somme, equitativamente determinata.

Il Fatto

Il ricorrente, titolare di un conto di corrispondenza, riferisce di aver subito una frode informatica attuata mediante tecniche di spoofing, vishing e social engineering. Riceveva un SMS apparentemente riconducibile alla messaggistica ufficiale dell’intermediario, che segnalava un pagamento in uscita verso un noto portale di prenotazione viaggi e indicava due utenze da contattare per il disconoscimento. Verificata l’assenza dell’addebito, contattava uno dei recapiti; un sedicente operatore, mascherando la propria utenza con il numero verde della banca, lo rassicurava e otteneva la conferma di otto bonifici istantanei.

Il ricorrente chiede il rimborso delle somme, deducendo l’inadeguatezza dei sistemi antifrode e l’omessa attivazione di alert. L’intermediario resiste, imputando l’accaduto alla colpa grave del cliente e allegando la regolare autenticazione forte delle operazioni, disposte tramite browser e dispositivo certificato.

La motivazione del Collegio

Il Collegio richiama la cornice del D.Lgs. 11/2010, come novellato dal D.Lgs. 218/2017 in attuazione della Direttiva PSD2. L’art. 10 pone a carico del prestatore di servizi di pagamento la prova tecnica della corretta autenticazione, registrazione e contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti, e in seconda battuta la dimostrazione che la frode sia riconducibile a dolo o colpa grave dell’utente. L’evidenza informatica dell’autenticazione è antecedente logico ineludibile: la sua omissione supera ogni eccezione del prestatore e assorbe la valutazione sulla negligenza del cliente.

Nel caso concreto, le evidenze prodotte dall’intermediario dimostrano che l’accesso all’area riservata e tutte le disposizioni contestate sono avvenute nel rispetto della SCA. Quanto alla condotta del ricorrente, il Collegio osserva che il messaggio fraudolento non si è incanalato nella conversazione genuina con la banca: il nome dell’istituto figurava solo nel corpo del testo e non quale identificativo del mittente. Ciò esclude lo spoofing e qualifica la frode come smishing, pratica inidonea a superare la normale diligenza esigibile dall’utente.

Sul piano degli obblighi informativi, l’intermediario ha documentato l’invio dei messaggi necessari per autorizzare le singole transazioni, recanti i codici OTP integrati con i dati essenziali dei pagamenti. Secondo il consolidato orientamento arbitrale richiamato, a fronte di messaggi che illustrano tipo, importo e destinatario dell’operazione, è ininfluente l’attivazione di notifiche successive o alert ex post.

Il Collegio passa quindi ai presìdi di sicurezza. La disciplina sulla prevenzione delle frodi, introdotta dalla legge 166/05 e dettagliata dal D.M. attuativo 112/07, tipizza le anomalie che generano rischio, tra cui l’esecuzione di sette o più richieste di autorizzazione nelle ventiquattro ore. In tali ipotesi l’art. 9 impone ai prestatori un rigoroso obbligo di monitoraggio. Nel caso di specie l’anomalia si è configurata: gli otto pagamenti sono stati disposti in appena dodici minuti, integrando un inequivocabile indicatore di frode che i sistemi di sicurezza non hanno intercettato né bloccato.

Da ciò deriva l’obbligo di restituire al ricorrente una somma equitativamente determinata nel venti per cento di tutte le operazioni contestate. Il Collegio accoglie parzialmente il ricorso e dichiara l’intermediario tenuto alla restituzione di € 1.920,00, oltre al contributo alle spese della procedura e al rimborso versato dal ricorrente.