Phishing e bonifico istantaneo non autorizzato (ABF Collegio di Bari n. 1907 del 04.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, l’intermediario che provi l’avvenuta autenticazione forte dell’operazione, la sua corretta registrazione e contabilizzazione e la conformità del sistema ai requisiti della Strong Customer Authentication è esente da responsabilità. La prova si fonda sui log del sistema informatico, dai quali risulti l’impiego di un fattore di conoscenza e di un fattore di possesso tanto per l’accesso quanto per l’autorizzazione. La colpa grave dell’utente può essere ritenuta anche in via presuntiva, attraverso il combinarsi di più elementi indiziari, tra cui l’adesione a un link contenuto in un’e-mail palesemente non riferibile all’intermediario. La mancata ricezione di un avviso non assume rilievo quando l’operazione fraudolenta sia unica e l’alert non avrebbe potuto limitare il danno.

Il Fatto

Il ricorrente, esaurita la fase del reclamo, adisce l’Arbitro chiedendo la restituzione di 1.200 euro, pari al valore di un bonifico istantaneo che disconosce perché disposto da terzi non autorizzati. Espone di aver ricevuto un’e-mail l’8 luglio 2025 e di aver cliccato sul link in essa contenuto; il giorno successivo si accorgeva dell’operazione in uscita verso un terzo ignoto e avvisava l’intermediario, lamentando di non aver ricevuto alcuna notifica.

L’intermediario eccepisce che l’operazione è stata eseguita con autenticazione a doppio fattore, sia in fase di accesso all’area riservata sia in fase di autorizzazione, e contesta la colpa grave del ricorrente, considerati i numerosi indici di inattendibilità dell’e-mail ricevuta. Riferisce di aver inviato un alert sull’installazione dell’app su un altro dispositivo e di aver avviato la procedura di recall, risultata vana. Chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla disciplina applicabile ratione temporis: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della Direttiva 2015/2366/UE (PSD 2), il Regolamento Delegato (UE) n. 2018/389 e l’Opinion dell’EBA del 21 giugno 2019 in tema di SCA. Da tale quadro deriva che l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti delle procedure, grava sull’intermediario.

Sul punto il resistente produce le schermate tratte dal proprio sistema informatico. Da esse emerge che l’installazione dell’app su un nuovo dispositivo è avvenuta con l’inserimento del codice personale, della data di nascita e del codice pin, quali fattori di conoscenza, e con la ricezione e l’inserimento di un codice OTP inviato al recapito telefonico registrato, quale fattore di possesso. Quanto all’autorizzazione, un ulteriore log documenta l’inserimento del codice segreto e dello smart code dal device su cui è stata installata l’app. Il Collegio richiama il proprio orientamento, citando le decisioni nn. 13339/2022 e 6695/2022, e conclude per la compatibilità del sistema con i requisiti SCA.

Passando all’eccezione di colpa grave, il Collegio ricorda che essa può essere provata anche in via presuntiva, sulla base delle risultanze in atti e delle modalità con cui la truffa è stata posta in essere. Nel caso concreto il ricorrente non allega alcuna circostanza ulteriore rispetto all’ammissione di aver cliccato sul link contenuto in un’e-mail apparentemente proveniente dall’intermediario, né offre elementi utili a valutare la particolare sofisticatezza dell’inganno. L’indirizzo del mittente non è riferibile al resistente e il corpo del messaggio presenta ulteriori indici di inattendibilità. Da qui la ravvisata colpa grave per negligente custodia delle credenziali.

Il Collegio ritiene infine non fondata la doglianza sulla mancanza di alert, perché in presenza di un’unica operazione fraudolenta l’avviso non avrebbe comunque potuto limitare il danno. Il ricorso è pertanto respinto.