Truffa del falso genitore e bonifico istantaneo disposto personalmente: nessun rimborso PSD2 (ABF Collegio di Torino n. 370 del 16.01.2026)

Principi di diritto (Massima)
Il bonifico istantaneo disposto personalmente dal correntista, con inserimento della disposizione di pagamento e di tutti i fattori di autenticazione, costituisce operazione autorizzata e non rientra nel regime di responsabilità previsto dalla PSD2 per l’uso indebito dello strumento di pagamento da parte di terzi. La circostanza che il pagatore abbia agito su indicazione del frodatore, senza la consapevolezza di disporre una transazione a favore di un terzo estraneo, non trasforma l’operazione in un uso non autorizzato. Il prestatore dei servizi di pagamento è pertanto esente da responsabilità quando provi l’autenticazione forte dell’operazione e il comportamento gravemente colposo dell’utente.

Il Fatto

Il ricorrente, correntista presso l’intermediario resistente, riferisce di aver ricevuto un messaggio WhatsApp apparentemente inviato dal padre, con cui gli veniva chiesto di eseguire un bonifico istantaneo di € 623,00 a favore di un conto acceso presso una banca italiana per saldare una fattura. Eseguito il pagamento, il ricorrente scopriva poco dopo che il genitore aveva subito un hackeraggio del proprio profilo e che la richiesta non proveniva da lui.

Contattato immediatamente l’intermediario, il correntista veniva invitato a sporgere denuncia, presentata il 29.03.2025 e trasmessa alla banca. L’intermediario negava il rimborso, osservando che il bonifico era stato volontariamente disposto mediante autenticazione a doppio fattore con il dispositivo in uso al cliente, e riferiva di aver attivato senza esito la procedura di recall verso la banca destinataria. Il ricorrente adiva quindi l’ABF chiedendo la restituzione della somma.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento, individuato nel D.Lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366. Richiama l’orientamento consolidato dell’ABF secondo cui l’art. 10 del D.Lgs. 11/2010 delinea un regime probatorio di favore per l’utente e impone al prestatore dei servizi di pagamento una sequenza graduata: provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti; dimostrare poi il comportamento gravemente colposo o fraudolento dell’utilizzatore, anche per presunzioni.

Il passaggio decisivo è però un altro. Il Collegio rileva che il ricorrente ha ammesso di aver eseguito personalmente l’operazione: ha ricevuto il messaggio alle 13:15 del 28.03.2025, ha disposto il pagamento e solo alle 13:38 è stato contattato dal padre, che lo avvertiva dell’hackeraggio. Da qui la conclusione che la disciplina della PSD2 non si applica, perché essa concerne l’uso indebito dei mezzi di pagamento da parte di terzi e non le operazioni direttamente e personalmente disposte dal correntista, che sono per definizione autorizzate.

La banca ha comunque fornito prova puntuale della corretta esecuzione del bonifico, depositando i log e il codice OTP coincidenti con il momento della disposizione e con l’inserimento delle credenziali statiche e dinamiche da parte del correntista. Il Collegio esclude inoltre che l’intermediario abbia violato le regole della diligenza tecnica parametrata sull’accorto banchiere o abbia agevolato in alcun modo l’evento.

Viene richiamato l’orientamento condiviso dei Collegi secondo cui rientrano in questa fattispecie anche le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, le cosiddette operazioni sotto dettatura. In tali casi l’operazione resta autorizzata e non è soggetta al regime di responsabilità della PSD2. Il Collegio conclude pertanto per l’assenza di responsabilità della banca resistente e per la sussistenza di un comportamento gravemente colposo del ricorrente, riconosciuto dallo stesso nella denuncia e provato dall’intermediario. Il ricorso è non accolto.