Colpa grave del correntista per omesse allegazioni sulla frode nell’operazione non autorizzata (ABF Collegio di Roma n. 3692 del 24.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la carenza di allegazioni del cliente sulle concrete modalità della frode costituisce elemento da cui l’Arbitro può desumere, unitamente ad altre circostanze, la colpa grave del titolare dello strumento di pagamento. La banca che documenti, mediante log di sistema, il corretto svolgimento del procedimento di autenticazione a doppio fattore non risponde dell’addebito, ove non emergano malfunzionamenti. Integra parimenti colpa grave la condotta dell’utente che, su indicazione del frodatore, installi un’applicazione che consente l’accesso e il controllo del dispositivo da remoto. In base all’art. 2 del Regolamento (UE) n. 2018/389, gli intermediari non sono tenuti a un monitoraggio in tempo reale delle operazioni, essendo sufficiente il controllo ex post delle frodi.

Il Fatto

Il ricorrente, correntista della resistente, riferisce di essere stato contattato telefonicamente da un sedicente operatore di un istituto terzo, che lo induceva a scaricare sul proprio smartphone un’applicazione recante il logo ufficiale della banca estranea al ricorso e a inserirvi le proprie credenziali. Subito dopo il dispositivo risultava bloccato per alcuni minuti. Accedendo poi da computer, l’istante rilevava che dal conto presso la resistente era stato disposto un bonifico di euro 1.000,00 verso una carta di pagamento a lui intestata, emessa dall’istituto terzo, con la quale venivano acquistate criptovalute. Presentava querela e reclamo, riscontrato negativamente, e adiva l’ABF per ottenere il rimborso, assumendo di non aver autorizzato la disposizione e di aver subito il controllo remoto del dispositivo tramite applicazione malevola.

La banca eccepiva il difetto di legittimazione passiva, qualificando il bonifico come mero giroconto verso altro rapporto del medesimo cliente, e nel merito l’infondatezza della domanda, avendo l’operazione superato l’autenticazione SCA senza profili di anomalia.

La motivazione del Collegio

Il Collegio respinge anzitutto l’eccezione preliminare. L’operazione di giroconto dal rapporto intrattenuto presso la convenuta a quello acceso presso l’istituto terzo è contestata come non autorizzata, e ciò radica la legittimazione passiva della resistente.

Nel merito, il Collegio applica i criteri del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il ricorrente non offre elementi utili a ricostruire la frode: si limita a riferire di essersi avveduto dell’addebito solo accedendo da computer, dopo aver installato l’applicazione su sollecitazione telefonica.

Secondo l’orientamento condiviso dai Collegi territoriali, le mancate allegazioni sulle circostanze di fatto della frode sono elemento da cui l’Arbitro può trarre il convincimento circa la colpa grave del cliente (Collegio di Roma, decisione n. 11050/2024). La banca ha prodotto i log del procedimento di autorizzazione, con esito positivo della digitazione dei codici: il sistema di autenticazione garantisce un elevato livello di sicurezza e non emergono malfunzionamenti.

In assenza di elementi idonei a contestualizzare l’evento truffaldino, il Collegio desume la colpa grave e richiama la decisione n. 23474/2021, secondo cui l’assoluta carenza di allegazione rende eccessivamente generica la rappresentazione del fatto costitutivo della pretesa restitutoria. Rileva inoltre che l’istante ha consentito, sia pure inconsapevolmente, il controllo da remoto del proprio home banking: la condotta di chi installi un’applicazione che permette l’accesso remoto a pc e smartphone integra colpa grave (Collegio di Roma, decisione n. 7806/2023).

Quanto all’asserito obbligo di blocco preventivo, le evidenze non consentono di accertare anomalie rispetto all’ordinaria operatività del rapporto. L’art. 2 del Regolamento (UE) n. 2018/389 impone meccanismi di monitoraggio, ma secondo l’interpretazione dell’EBA Q&A 4090/2018 non è necessario che operino in tempo reale, potendo limitarsi al controllo ex post. La resistente non aveva dunque l’obbligo di negare l’autorizzazione. Il ricorso è respinto.