Truffa del falso operatore e bonifici disposti dalla cliente (ABF Collegio di Milano n. 4349 del 13.05.2026)

Principi di diritto (Massima)
Le disposizioni di bonifico eseguite per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, devono considerarsi autorizzate e restano fuori dall’ambito di applicazione del D.lgs. n. 11/2010 e della direttiva PSD2, con conseguente irrilevanza del regime di responsabilità per le operazioni non autorizzate. Per l’operazione invece eseguita dal frodatore, l’intermediario deve provare l’autenticazione forte, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti; provata la SCA, il rimborso è escluso se il cliente ha agito con colpa grave e non emergono profili di responsabilità concorrente dell’intermediario secondo il diritto comune.

Il Fatto

La ricorrente riferisce di essere stata contattata il 28.10.2025 da un sedicente operatore dell’intermediario, tramite un recapito riconducibile al numero verde ufficiale, e di essere stata indotta a bloccare presunti addebiti sospetti verso un sito di prenotazioni alberghiere. Seguendo le istruzioni ricevute, eseguiva due bonifici per complessivi € 8.552,88 verso coordinate inviate via SMS; un terzo bonifico di € 1.501,44 sarebbe stato disposto direttamente dal frodatore. La perdita complessiva, pari a € 10.054,32, esauriva l’intera giacenza del conto. L’intermediario ha riscontrato negativamente il reclamo e la ricorrente ha chiesto all’ABF il rimborso del danno.

L’intermediario eccepisce l’inammissibilità per genericità, non essendo allegato il primo SMS, e sostiene la natura confessoria della ricostruzione: i primi due bonifici sarebbero stati disposti personalmente dalla cliente presso un ATM. Quanto al terzo, i log interni dimostrerebbero l’esecuzione da home banking con corretta immissione dei fattori SCA PSD2 – CONTROLLO MAPELLUM. Da qui la richiesta di rigetto.

La motivazione del Collegio

Il Collegio ripercorre gli importi e gli orari delle tre disposizioni e constata che le operazioni di € 4.751,44 e € 3.801,44 sono state eseguite personalmente dalla ricorrente presso uno sportello ATM, seguendo le istruzioni del frodatore. Esse non rientrano nell’ambito del D.lgs. 27 gennaio 2010, n. 11: secondo l’orientamento dei Collegi, quando l’operazione è eseguita per intero dal pagatore, con immissione della disposizione e di tutti i fattori di autenticazione, la stessa è autorizzata e non viene in rilievo il regime delle operazioni non autorizzate. Non si procede quindi all’esame della autenticazione forte per tali transazioni.

Chiarita l’inapplicabilità dell’art. 10, D.lgs. n. 11/2010, il Collegio verifica comunque l’eventuale colpa grave della ricorrente e una responsabilità concorrente dell’intermediario secondo il diritto comune, richiamando i casi di mancata disponibilità del numero verde, di mancata identificazione del tentativo di frode da parte del dipendente e di mancato rilievo di indici di anomalia in caso di pagamenti disposti nella convinzione di effettuare accrediti.

Quanto all’operazione di € 1.501,44, eseguita dal frodatore, trova applicazione il D.lgs. n. 11/2010 e il Provvedimento attuativo della Banca d’Italia del 05.07.2011. Il Collegio ricorda la ripartizione dell’onere probatorio: l’intermediario deve provare autenticazione, registrazione e contabilizzazione, l’assenza di malfunzionamenti e i fatti che integrano la colpa grave del cliente, unica condizione, insieme al dolo, per imputargli l’uso fraudolento dello strumento ai sensi dell’art. 12 del D.lgs. n. 11/2010. La SCA richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso.

Dalle evidenze in atti risulta provata l’autenticazione in tutte le fasi: PIN (fattore di conoscenza) e OTP generato da token fisico Vasco (fattore di possesso), oltre all’ulteriore elemento di sicurezza costituito dal sistema Mapellum. Provata la SCA, il Collegio passa alla colpa: la ricorrente non allega prova dell’SMS civetta né documenta le telefonate con i numeri indicati nel messaggio, e anzi ammette di aver consentito il controllo da remoto e di aver fornito le credenziali di home banking. Sussiste dunque una condotta colposa nella causazione della frode, mentre non emergono responsabilità concorrenti dell’intermediario, che avvisato ha subito tentato il recall dei tre bonifici, rifiutati. Il ricorso non è pertanto accolto.