Consenso viziato da raggiro non rende non autorizzata l’operazione di pagamento (ABF Collegio di Milano n. 2596 del 20.03.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, nella fase dispositiva come in quella di autenticazione, essa deve considerarsi autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010, con conseguente inapplicabilità del regime di responsabilità per le operazioni di pagamento non autorizzate. Il consenso prestato dal cliente, ancorché viziato dal raggiro del frodatore, non integra l’ipotesi di non autorizzazione: la norma qualifica come non autorizzata solo l’operazione effettuata in completa assenza del consenso del pagatore. L’allegazione di un accesso abusivo ai sistemi dell’intermediario, priva di supporto probatorio, non è idonea a configurare una responsabilità concorrente del PSP secondo le norme di diritto comune.

Il Fatto

Il ricorrente afferma di aver subito una frode per un bonifico istantaneo di € 1.800,00 eseguito il 10 ottobre 2025. Espone di essere stato contattato tramite piattaforma di messaggistica da un soggetto che si qualificava come operatore dell’intermediario e che dimostrava di conoscere il codice cliente, i movimenti recenti del conto e le procedure operative della banca. Durante la conversazione gli è stato riferito che era stato rilevato un movimento sospetto da disconoscere e che avrebbe dovuto autorizzare tramite app bancaria un’operazione descritta come “disconoscimento di sicurezza”. Il ricorrente sostiene di aver seguito le istruzioni in buona fede, senza fornire credenziali né cliccare su link esterni, scoprendo solo dopo che l’operazione autorizzata era un bonifico istantaneo a favore di terzi. Ha sporto denuncia alla Polizia Postale e ha contattato la banca per bloccare l’operatività del conto, domandando il rimborso di € 1.800,00 oltre interessi legali.

L’intermediario, nelle controdeduzioni, afferma che l’operazione è stata disposta dal dispositivo in uso al ricorrente, registrato presso i propri sistemi dal 6 giugno 2025, nel rispetto delle previsioni in materia di autenticazione forte. Lo schema descritto configura, ad avviso dell’intermediario, un’ipotesi di social hacking, dinanzi alla quale i Collegi ABF hanno costantemente ritenuto l’operazione personalmente autorizzata dal cliente. Evidenzia che il ricorrente avrebbe potuto avvedersi della natura truffaldina del contatto, provenendo la chiamata da un numero mobile non riconducibile ai canali ufficiali della banca, e riferisce di aver dato seguito alla richiesta di recall del bonifico il 13 ottobre 2025, senza riscontro dall’intermediario beneficiario.

La motivazione del Collegio

Il Collegio qualifica la controversia come disconoscimento di un bonifico istantaneo eseguito dal ricorrente dalla propria app bancaria a seguito di un contatto decettivo. È pacifico che l’operazione sia stata eseguita direttamente dal ricorrente, che ha personalmente disposto il pagamento seguendo le istruzioni del frodatore. Tale circostanza è confermata in termini confessori dalla denuncia alla Polizia Postale del 10 ottobre 2025, dal modulo di disconoscimento e dalle repliche. I log informatici versati dall’intermediario confermano che accesso e fase dispositiva sono stati completati sull’app associata al dispositivo del ricorrente, installata il 6 giugno 2025.

Secondo l’orientamento consolidato dei Collegi ABF, quando l’operazione di pagamento è eseguita per intero dal pagatore — nella fase dispositiva e in quella di autenticazione — essa va considerata autorizzata ai sensi dell’art. 5 del D.Lgs. n. 11/2010, con conseguente inapplicabilità del regime di responsabilità per le operazioni non autorizzate previsto dalla direttiva 2015/2366/UE e dal medesimo decreto. Rientrano in questa fattispecie le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, senza la consapevolezza di disporre una transazione fraudolenta, come nel fenomeno del c.d. social hacking, richiamando Collegio di Milano, decisione n. 432/2023 e Collegio di Roma, n. 8538/2021. Il Collegio non procede pertanto alla verifica della corretta esecuzione e autenticazione ai sensi degli artt. 10 ss. del decreto citato.

Il ricorrente eccepisce che il consenso sarebbe viziato dal raggiro e che la conoscenza di informazioni riservate da parte del frodatore sarebbe riconducibile a un accesso abusivo ai sistemi dell’intermediario, con concorso causale nella frode. Le eccezioni non sono accolte. Quanto alla prima, le operazioni effettuate dal cliente — seppure sulla base di un consenso viziato dal raggiro — non configurano ipotesi di non autorizzazione, perché l’art. 5 del D.Lgs. n. 11/2010 qualifica come non autorizzata solo l’operazione effettuata in completa assenza del consenso; nel caso di specie il consenso è stato prestato, ancorché viziato da errore indotto dal raggiro.

Quanto alla seconda eccezione, l’allegazione di un accesso abusivo ai sistemi dell’intermediario è rimasta priva di qualsiasi supporto probatorio: il ricorrente non ha prodotto alcuna evidenza a sostegno, limitandosi a negare di aver cliccato su link malevoli o comunicato i propri codici. Il Collegio osserva che, in caso di operazioni compiute direttamente dal cliente, l’intermediario è esonerato dalla prova di autenticazione e non è configurabile una responsabilità oggettiva a suo carico. Può tuttavia rilevarsi una responsabilità concorrente del PSP secondo le norme di diritto comune, qualora emerga un apporto causale dell’intermediario alla frode. Nel caso concreto non ricorre alcuna delle ipotesi rilevanti: non risulta indisponibile il numero verde dell’intermediario, né che il ricorrente si sia rivolto a un dipendente che non abbia identificato il tentativo di frode, né che vi fossero indici di anomalia tali da imporre il blocco della transazione. Il ricorso non è pertanto accolto.