Phishing e bonifico non autorizzato: SCA e colpa grave del cliente (ABF Collegio di Bologna n. 2062 del 09.03.2026)

Principi di diritto (Massima)
Qualora l’utilizzatore neghi di aver autorizzato un’operazione di pagamento, grava sul prestatore di servizi di pagamento, ai sensi dell’art. 10 del d.lgs. n. 11/2010, la prova dell’avvenuta autenticazione, della corretta registrazione e contabilizzazione dell’operazione e dell’assenza di malfunzionamenti. La prova della Strong Customer Authentication, documentata mediante i log e la legenda esplicativa, costituisce un prius logico rispetto alla prova della frode, del dolo o della colpa grave dell’utente, che resta a carico dell’intermediario ai sensi dell’art. 11 del d.lgs. n. 11/2010. Nell’ipotesi di utilizzo fraudolento online, in cui manchi la presunzione legale di non autorizzazione, il cliente deve allegare i fatti che rendano plausibile l’intervento di un terzo; la scarsa contestualizzazione della truffa, ove l’intermediario abbia provato la conformità del sistema alla SCA, integra un indizio valutabile dal Collegio nel senso della colpa grave del ricorrente.

Il Fatto

Il ricorrente, titolare di una carta di pagamento, riceveva sulla propria utenza telefonica una chiamata apparentemente proveniente dal servizio antifrode dell’intermediario, che lo avvisava dell’esecuzione di un bonifico di € 1.750,00 disposto con la carta e lo invitava a sporgere denuncia. Accedendo all’App, il ricorrente constatava l’addebito di un bonifico istantaneo non autorizzato, bloccava lo strumento e presentava denuncia in giornata.

Esperito senza esito il reclamo, il ricorrente adiva l’Arbitro chiedendo il rimborso della somma, gli interessi legali, le spese legali di € 366,00 e le spese di procedura di € 20,00. L’intermediario resisteva sostenendo la regolarità dell’operazione, eseguita previa autenticazione dinamica tramite codice sull’App installata sul device certificato del cliente, e deduceva la lacunosità della narrazione della frode quale indice di negligenza.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Rileva che l’operazione contestata è stata effettuata su canale App in data 1.1.2025 alle ore 9.00.28, con addebito sulla carta intestata al ricorrente, e che questi ha disconosciuto la disposizione.

Il Collegio richiama l’art. 10-bis del d.lgs. n. 11/2010, che impone al prestatore di applicare l’autenticazione forte del cliente all’accesso al conto online e alla disposizione dell’operazione di pagamento, e la definizione dell’art. 1, lett. q bis) del medesimo decreto, che richiede due o più elementi indipendenti tra conoscenza, possesso e inerenza. Nel caso concreto, i log documentano l’accesso all’home banking in App mediante codice di autenticazione (fattore di conoscenza) e la successiva validazione della notifica push sul device certificato (fattore di possesso).

Il Collegio dà conto della richiesta di integrazione istruttoria relativa alla presenza di due diversi User-agent abbinati al medesimo DeviceID, chiarita dall’intermediario come conseguenza della presenza di due App differenti sul medesimo device: la circostanza non inficia la prova della SCA. Richiamando le decisioni del Collegio di Coordinamento n. 897/2014 e n. 22745/2019, precisa che il deposito dei tabulati corredati da legenda è idoneo a soddisfare l’onere probatorio, ma che la prova dell’autenticazione non è di per sé sufficiente: l’intermediario deve fornire elementi dai quali desumere in via presuntiva la colpa grave dell’utente.

Su questo secondo versante il Collegio ritiene che la narrazione del ricorrente sia lacunosa e in parte contraddittoria, così da far supporre un’ipotesi di phishing classico. Secondo l’orientamento dei Collegi, confermato dalla precedente decisione n. 9593/24, quando l’intermediario ha provato l’autenticazione e la conformità del sistema alla SCA, la mancata allegazione delle circostanze della frode costituisce un elemento dal quale trarre il convincimento sulla colpa grave del cliente. Non risultando indicatori di anomalia e trattandosi di un’unica operazione, irrilevante è l’eventuale invio degli alert. Il ricorso è pertanto rigettato, con rigetto anche della domanda di refusione delle spese legali.