Colpa grave del cliente esonera la banca dal rimborso per truffa telefonica (ABF Collegio di Bari n. 3132 del 10.04.2026)

Principi di diritto (Massima)
In tema di utilizzo non autorizzato dello strumento di pagamento, gli artt. 9 ss. d.lgs. n. 11/2010 allocano in via primaria sull’intermediario il rischio della frode. Il prestatore di servizi di pagamento si sottrae all’obbligo di rimborso solo se prova l’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Non è tuttavia sufficiente la regolarità formale del flusso autorizzativo: occorre la prova del dolo o della colpa grave dell’utilizzatore. Integra colpa grave la condotta del cliente che, ingannato da telefonata di vishing, installa su istigazione del sedicente operatore una app malevola, consentendo l’accesso di terzi al proprio dispositivo e prestando cooperazione decisiva alla frode. In tale ipotesi il ricorso è rigettato.

Il Fatto

Il ricorrente rappresenta di aver ricevuto una telefonata proveniente dal numero fisso dell’intermediario e che, a seguito di quella conversazione, dal suo conto corrente sono stati sottratti € 22.501. Chiede quindi il rimborso della somma, oltre al ristoro delle spese sostenute per l’ausilio di un consulente specializzato in informatica forense.

L’intermediario si difende sostenendo che il raggiro è stato di agevole esecuzione: ai frodatori è bastato indurre il cliente a scaricare una App e a seguire le istruzioni ricevute, con conseguente perdita di controllo dell’applicazione bancaria. Eccepisce quindi il phishing e conclude per il rigetto. In repliche il ricorrente insiste sul concorso di responsabilità dell’intermediario, richiamando l’esecuzione oltre cut-off, la mancata revoca nonostante richiesta entro sedici minuti e l’inefficacia dei presidi di customer protection.

La motivazione del Collegio

Il Collegio inquadra la vicenda nell’ambito dell’utilizzo non autorizzato di strumenti di pagamento, disciplinato dagli artt. 9 ss. d.lgs. 27 gennaio 2010, n. 11, nel testo modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Rileva che l’operazione è stata eseguita dopo l’entrata in vigore della disciplina sull’autenticazione forte dettata dal Regolamento Delegato (UE) n. 2018/389.

Il quadro normativo di riferimento è chiaro. L’art. 10 d.lgs. n. 11/2010 pone sul prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti. Il comma 2 esclude che il semplice utilizzo di uno strumento registrato basti a dimostrare l’autorizzazione dell’utente. L’art. 12, comma 2-bis, esonera il pagatore da ogni perdita, salvo frode, se l’intermediario non esige l’autenticazione forte, definita dall’art. 1, lett. q-bis come combinazione di due o più fattori indipendenti tra conoscenza, possesso e inerenza.

Il Collegio richiama quindi il Collegio di Coordinamento n. 3947 del 24.6.2014, che ha descritto la disciplina come regime di speciale favor probatorio per l’utilizzatore, e la successiva decisione n. 22745/2019, sull’insufficienza della regolarità formale dell’operazione. La responsabilità del cliente resta così circoscritta ai casi di comportamento fraudolento o di inadempimento doloso o gravemente colposo degli obblighi dell’art. 7.

Applicando tali principi, il Collegio ritiene che l’intermediario abbia assolto il proprio onere. Le evidenze informatiche mostrano tre login tra le 17:07 e le 17:42 del 24/10/2024, con ID utente e PIN e con OTP generato da Mobile Token, tutti compiuti dal cellulare in uso al ricorrente. Il bonifico è stato inserito alle 17:44 e autorizzato con PIN e OTP. Il sistema multifattoriale appare quindi conforme ai requisiti di SCA.

Sul versante della condotta del cliente, la denuncia stessa ha natura confessoria: il ricorrente ha seguito le istruzioni del sedicente operatore, ha cliccato su un link sconosciuto e ha installato una app malevola, consentendo l’accesso al dispositivo da parte di terzi. La perizia prodotta dallo stesso ricorrente conferma che il link non è in alcun modo riconducibile alla banca e che una semplice ricerca online ne rivelava l’inaffidabilità. L’intermediario ha inoltre documentato l’invio tempestivo di un alert via SMS e notifica push. L’esito fraudolento è dunque ascritto alla condotta gravemente incauta del cliente: il ricorso non è accolto.