Frodi informatiche e bonifici istantanei: SCA e prova della colpa grave (ABF Collegio di Roma n. 4508 del 20.05.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento, grava sull’intermediario l’onere di provare l’autenticazione forte del cliente (SCA), la corretta registrazione e contabilizzazione dell’operazione, nonché l’insussistenza di malfunzionamenti. Qualora tale prova sia fornita, il cliente che non alleghi le circostanze di fatto della frode subisce le conseguenze dell’operazione, perché il giudice può trarre da tale omissione, insieme ad altri elementi, il convincimento circa la sua colpa grave. L’art. 12, comma 2-bis, d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017, esonera il pagatore da ogni perdita solo quando l’intermediario non abbia preteso l’autenticazione forte; ove questa sia provata, la contestazione va respinta.

Il Fatto

Il ricorrente, titolare di due rapporti di conto corrente presso due intermediari, ha disconosciuto due bonifici istantanei eseguiti sul conto acceso presso il primo istituto e sette operazioni disposte sul conto del secondo. Secondo la sua ricostruzione, un virus avrebbe causato malfunzionamenti informatici e non avrebbe ricevuto alcun SMS alert. Il primo intermediario ha riferito che uno dei due bonifici era già stato riaccreditato a seguito di recall e che l’altro risultava accreditato allo stesso ricorrente; il secondo ha sostenuto di aver provato la SCA, che le operazioni erano state effettuate sul dispositivo normalmente in uso e che erano stati inviati alert riepilogativi.

Il ricorrente ha replicato di aver custodito con diligenza i codici e il telefono, contestando che gli intermediari avessero dimostrato l’assenza di un attacco informatico e la sussistenza della SCA. Entrambi gli intermediari hanno insistito per il rigetto.

La motivazione del Collegio

Il Collegio ha inquadrato la controversia nel perimetro del d.lgs. n. 11 del 2010, come modificato dal d.lgs. n. 218 del 2017 di recepimento della Direttiva 2015/2366/UE (PSD 2), richiamando il proprio orientamento consolidato (Coll. Coord. n. 22745 del 2019). Due sono i profili decisivi: da un lato, l’intermediario deve provare l’autenticazione, la registrazione e la contabilizzazione delle operazioni, con particolare riguardo alla SCA; dall’altro, è sempre l’intermediario a dover provare i fatti idonei a integrare la colpa grave dell’utilizzatore.

Quanto al primo profilo, il Collegio ha ritenuto che il primo intermediario abbia assolto all’onere: il bonifico residuo è stato autorizzato con impronta digitale (fattore di inerenza) sul dispositivo del ricorrente e con generazione di OTP (fattore di possesso), modalità già ritenuta conforme alla SCA (Coll. Roma n. 8530 del 2021). Il secondo intermediario ha parimenti dimostrato la SCA mediante riconoscimento facciale e notifica sul dispositivo mobile registrato, sistema già validato (Coll. Napoli n. 1884 del 2026).

Sul secondo profilo, il Collegio ha valorizzato l’omessa allegazione da parte del ricorrente delle circostanze di fatto della frode. Secondo l’orientamento condiviso dei Collegi, tali mancate allegazioni costituiscono un elemento da cui il giudice può trarre il convincimento circa la colpa grave del cliente, qualora l’intermediario abbia offerto la prova dell’autenticazione (Coll. Roma n. 1319 del 2025). La questione della mancata attivazione degli alert, ha precisato il Collegio, non rileva in presenza di un’unica operazione contestata; nel caso del secondo intermediario, peraltro, risultano versati in atti sia SMS “parlanti” sia una notifica riepilogativa.

Il Collegio ha quindi respinto entrambe le doglianze, non ritenendole fondate.