Truffa del falso operatore bancario e bonifico istantaneo autorizzato con codice token (ABF Collegio di Napoli n. 4555 del 20.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, la produzione documentale che comprovi l’avvenuta autenticazione e la formale regolarità dell’operazione non esaurisce, di per sé, l’onere probatorio posto a carico del prestatore di servizi di pagamento. È tuttavia sufficiente, ai fini del Regolamento Delegato Ue 2018/389 nonché degli artt. 97 e 98 della PSD2, la dimostrazione che il bonifico istantaneo sia stato disposto mediante un sistema di autenticazione a due fattori conforme alla strong customer authentication, con accesso dall’area riservata e generazione del codice token sull’app associata al conto. Ove il cliente abbia comunicato tale codice al sedicente incaricato della banca, la condotta integra colpa grave dell’utilizzatore e preclude il rimborso.

Il Fatto

Il ricorrente riferisce di essere stato vittima di una truffa perpetrata da un sedicente dipendente dell’intermediario. La vicenda si è tradotta in due bonifici bancari, dell’importo di euro 29.900,00 e di euro 19.800,00, disposti a favore di soggetti sconosciuti. A seguito della denuncia, il cliente otteneva la restituzione della prima somma ma non della seconda, poiché il conto di destinazione risultava già svuotato.

Il ricorrente lamenta carenze organizzative dell’intermediario, che a suo avviso avrebbe dovuto contattarlo per avvisarlo di due bonifici in uscita di importo così elevato, oppure prevedere un tetto massimo giornaliero per i bonifici istantanei. Sostiene inoltre di non aver ricevuto avvisi di sicurezza né SMS. Insoddisfatto dell’esito del reclamo, domanda all’Arbitro il rimborso della somma non recuperata.

La motivazione del Collegio

L’intermediario eccepisce in via preliminare che la fattispecie non rientra nell’alveo delle operazioni di pagamento non autorizzate conseguenti a furto, smarrimento o uso indebito dello strumento di pagamento. Le operazioni contestate, infatti, sono state eseguite personalmente dal cliente, seguendo le istruzioni telefoniche di un soggetto qualificatosi come incaricato della banca, con un sistema a due fattori.

Il Collegio richiama i criteri fissati dalla decisione del Collegio di Coordinamento n. 22745/2019: l’onere posto a carico del prestatore di servizi di pagamento richiede che questi indichi specificamente gli elementi di fatto delle modalità esecutive dell’operazione, dai quali possa trarsi la prova, in via presuntiva, della colpa grave dell’utente. Non basta, dunque, la sola produzione dei documenti comprovanti l’autenticazione formale.

Nel caso di specie, i log dimostrano che il cliente si è avvalso della procedura di identificazione cd. offline, attivata quando il dispositivo associato al conto non riceve la notifica push per mancanza di connessione o non esegue l’accesso entro il termine di validità. Tale procedura prevede l’accesso contestuale dal pc all’area riservata e l’utilizzo dell’app installata sullo smartphone associato al conto. L’autenticazione risulta pertanto pienamente conforme alla SCA, come già ritenuto dal Collegio di Milano nella decisione n. 10455/25 in un caso analogo.

Il Collegio ritiene quindi che l’intermediario abbia assolto al proprio onere della prova. Il cliente ha generato il codice token necessario per l’autenticazione e lo ha comunicato al truffatore, tenendo una condotta in contrasto con il dovere di custodire le proprie credenziali.

Quanto alle ulteriori doglianze, il Collegio esclude che le modifiche contrattuali sui bonifici istantanei siano inefficaci, essendo stata osservata la procedura dell’art. 118, comma 2, TUB, con preavviso minimo di due mesi. Né l’importo elevato del bonifico può costituire, di per sé, indice di frode ulteriore rispetto a quelli previsti dal DM 112/2007. Il ricorso è pertanto non accolto.