Controllo remoto e SCA: colpa grave del cliente esclude il rimborso integrale (ABF Collegio di Roma n. 1250 del 11.02.2026)

Principi di diritto (Massima)
Nelle controversie sul disconoscimento di operazioni di home banking è l’intermediario a dover provare l’autenticazione forte delle operazioni. Ove tale prova sia fornita mediante log informatici e conferma biometrica della notifica push ricevuta sul dispositivo del cliente, l’operazione si considera correttamente autenticata ai sensi della disciplina della strong customer authentication. Integrano colpa grave del cliente la concessione del controllo remoto del proprio dispositivo su indicazione del sedicente operatore e l’autorizzazione personale dei pagamenti. In presenza di colpa grave dell’utente, l’intermediario non è tenuto al rimborso integrale e la somma già corrisposta a titolo di concorso di colpa esaurisce ogni pretesa. Il mancato riscontro del vishing callerID esclude il concorso colposo dell’intermediario.

Il Fatto

Il ricorrente riferisce di aver ricevuto, il 13.11.2024, un sms che lo avvertiva di bonifici non autorizzati e preannunciava la chiamata di un operatore della banca. Poco dopo veniva contattato da un numero apparentemente riconducibile all’intermediario: il sedicente operatore gli chiedeva di accedere al conto e, tramite controllo remoto, disponeva cinque bonifici istantanei per complessivi euro 17.450,00, poi autorizzati dal cliente.

Il ricorrente disconosce le operazioni e chiede il rimborso integrale, sostenendo la responsabilità della banca per non aver rilevato l’anomalia dei pagamenti. L’intermediario eccepisce la regolarità dell’autenticazione forte e la colpa grave dell’utente, avendo già accreditato euro 6.650,00, pari a un terzo dell’importo frodato.

La motivazione del Collegio

Il Collegio ricostruisce l’operazione sulla base dei log prodotti dall’intermediario. L’accesso all’area riservata risulta completato alle 14:21 del 13.11.2024 mediante autorizzazione della notifica push con TouchID. Anche i bonifici risultano disposti con autenticazione forte: il cliente ha ricevuto la push sullo smartphone, del quale solo lui dispone, e ha confermato con i propri dati biometrici. Coniugando fattore di conoscenza e fattore di possesso, il sistema è conforme alla strong customer authentication, come già ritenuto dal Collegio di Roma nella decisione n. 19734/2021.

Il Collegio esclude poi il vishing callerID. Il registro chiamate prodotto non riporta il numero telefonico, ma solo l’intestazione della banca. L’integrazione istruttoria disposta il 25.9.2025 non è stata soddisfatta: gli screenshot depositati non recano il numero chiamante. Manca dunque la prova della riconducibilità all’intermediario dei numeri usati dai truffatori, e con essa il presupposto per ravvisare un concorso colposo della banca.

Assume rilievo decisivo il controllo remoto. Il ricorrente ha consentito al frodatore di agire sul proprio dispositivo, consentendogli di disporre i pagamenti. Su questa fattispecie la giurisprudenza dell’Arbitro afferma di norma la colpa grave dell’utente (Collegio di Milano, decisione n. 196/2023; Collegio di Roma, decisione n. 4317/2024).

Quanto all’asserito obbligo di monitoraggio, l’art. 2 del Regolamento delegato n. 839/2018 prevede un controllo ex post e non un monitoraggio in tempo reale, salvo che l’intermediario voglia avvalersi dell’esenzione SCA, come chiarito dalla Q&A EBA n. 4090/2018. I bonifici istantanei, inoltre, sono irrevocabili una volta ordinati.

Il Collegio conclude che l’intermediario, riconoscendo un terzo dell’importo a titolo di concorso di colpa, ha già ristorato il cliente, che nulla altro può pretendere. Il ricorso è respinto.