Frodi informatiche e bonifici non autorizzati (ABF Collegio di Napoli n. 1165 del 10.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, ai sensi dell’art. 10 d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, grava sul prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti o altri inconvenienti. L’utilizzo di uno strumento di pagamento registrato e il ricorso alla strong customer authentication non sono di per sé sufficienti a dimostrare l’autorizzazione dell’operazione né il dolo o la colpa grave dell’utente. L’emittente di una carta prepagata che consenta accrediti o addebiti oltre i limiti contrattuali e di spesa concordati viola i propri obblighi e risponde della perdita subita dal cliente.

Il Fatto

Il ricorrente, titolare di un conto corrente presso un intermediario e di una carta prepagata presso un altro, ha disconosciuto una serie di operazioni eseguite nella medesima giornata per un importo complessivo di € 8.499,00. Secondo la ricostruzione, un sedicente operatore lo ha indotto, prospettando la necessità di autorizzare presunti aggiornamenti funzionali alla ricezione della carta, ad appoggiare il dito sul sensore biometrico del proprio dispositivo mobile.

Poco dopo il ricorrente si accorgeva dell’esecuzione di un bonifico di € 8.450,00 dal conto verso la propria carta prepagata e di due ulteriori bonifici in uscita dalla carta, per € 4.999,00 e € 3.500,00, a favore di un terzo presso un intermediario non convenuto. Presentava denuncia all’Autorità di Pubblica Sicurezza e chiedeva il rimborso a entrambi gli intermediari, senza esito. Entrambi gli intermediari si costituivano chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nelle artt. 97 e 98 della PSD 2, nell’art. 10-bis d.lgs. n. 11/2010 e nel Regolamento Delegato UE 2018/389 le fonti che regolano la strong customer authentication. Richiama poi l’art. 10, commi 1 e 2, d.lgs. n. 11/2010, che distribuisce espressamente l’onere della prova in capo al prestatore di servizi di pagamento.

Da tale ripartizione il Collegio trae il principio centrale: l’utilizzo delle credenziali di sicurezza non è di per sé sufficiente a dimostrare né l’autorizzazione dell’operazione né la colpa grave del cliente. La banca deve provare la frode, il dolo o la colpa grave dell’utente, non potendosi limitare a invocare l’avvenuta autenticazione.

Quanto al primo intermediario, il Collegio ritiene che esso abbia fornito prova della SCA e della regolarità dell’operazione: il bonifico è stato autorizzato mediante un device già associato al profilo del ricorrente e tramite autenticazione biometrica, quale fattore di inerenza, unitamente al fattore di possesso. La doglianza verso questo intermediario non è quindi accolta.

Diversa è la posizione del secondo intermediario. Dal contratto depositato emerge che sulla carta erano consentite ricariche per un importo massimo giornaliero di € 4.990,00, mentre è pervenuta una singola ricarica di € 8.450,00: l’intermediario era contrattualmente tenuto a respingere l’accredito. L’importo supera anche il limite di disponibilità previsto in via generale per lo strumento, pari a € 7.500,00. Inoltre il primo bonifico in uscita, di € 4.999,00, eccede il limite di spesa per singola operazione concordato e richiamato dalla stessa banca nelle controdeduzioni: l’operazione non avrebbe dovuto essere consentita.

Su queste basi il Collegio accoglie parzialmente il ricorso e riconosce al ricorrente, nei confronti del secondo intermediario, il diritto al risarcimento del danno nella misura del 50% dell’esborso, pari a € 4.250,00 oltre interessi legali dalla data del reclamo. Dispone inoltre il versamento del contributo alle spese della procedura e il rimborso della somma versata per la presentazione del ricorso.