Truffa del falso operatore e colpa grave del cliente con SCA provata (ABF Collegio di Bologna n. 478 del 21.01.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento disposte dal frodatore ma perfezionate con il contributo del cliente, anche solo nella fase di autorizzazione tramite app, l’operazione è non autorizzata e ricade nel regime della PSD2. Grava sull’intermediario l’onere di provare l’autenticazione forte, la corretta registrazione e contabilizzazione dell’operazione, nonché l’assenza di malfunzionamenti: il deposito dei log corredati da legenda esplicativa è idoneo a tale prova. La prova della SCA non è però sufficiente a esimere il prestatore di servizi di pagamento, che deve dimostrare anche la frode, il dolo o la colpa grave dell’utente, desumibile anche per presunzioni dagli elementi di fatto che caratterizzano le modalità esecutive dell’operazione. La mancata allegazione del messaggio civetta e la comunicazione delle credenziali al sedicente operatore integrano la colpa grave e giustificano il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente riferisce di aver ricevuto, in data 8.5.2024, alcuni sms apparentemente provenienti dall’intermediario relativi a quattro acquisti su un sito di abbigliamento, seguiti da chiamate da un numero che, verificato, risultava quello del servizio clienti della banca. Nel corso della conversazione un sedicente operatore indicava la procedura per stornare i pagamenti, chiedendo di accedere all’app, comunicare il numero utenza e modificare la password secondo le indicazioni ricevute. Insospettito, il ricorrente si recava presso i carabinieri mentre era ancora al telefono. Tramite i raggiri veniva eseguito un pagamento di euro 1.654,82.

Esperito infruttuosamente il reclamo, il ricorrente chiede all’Arbitro la restituzione dell’importo disconosciuto. L’intermediario eccepisce l’indeterminatezza dell’oggetto del ricorso, contesta la prova dei raggiri, deduce la cooperazione del cliente nella realizzazione della truffa e allega i log attestanti l’autenticazione forte in tutte le fasi, chiedendo in subordine il riconoscimento del concorso di colpa.

La motivazione del Collegio

Il Collegio qualifica l’operazione come bonifico on line e supera l’eccezione di indeterminatezza: il riferimento al pagamento bancomat contenuto nel modulo di ricorso è un mero lapsus calami, smentito dal modulo di disconoscimento allegato, che qualifica l’operazione come bonifico. L’oggetto del ricorso risulta quindi determinato.

Nel merito, il Collegio richiama l’orientamento dominante dei Collegi: quando il frodatore inserisce la transazione ma il cliente la esegue, anche solo nell’ultima fase, tramite riconoscimento biometrico o notifica push, l’operazione è non autorizzata e soggetta alla PSD2. Nel caso concreto il ricorrente ha collaborato al cambio password inserendo quella dettata dal truffatore e ha accettato in app tutte le operazioni, credendole dirette a stornare i falsi acquisti.

Si applica quindi l’art. 10 del d.lgs. n. 11/2010: negata l’autorizzazione, l’intermediario deve provare autenticazione, corretta registrazione e contabilizzazione e assenza di malfunzionamenti, ma tale prova non basta a dimostrare l’autorizzazione né la frode o la colpa grave dell’utente. In mancanza, scatta l’obbligo di riaccredito ex art. 11 del d.lgs. n. 11/2010. La prova della colpa grave può essere fornita con indizi chiari, precisi e concordanti, secondo l’insegnamento del Collegio di Coordinamento n. 897/2014 e della decisione n. 22745/2019.

Quanto alla SCA, il Collegio ritiene raggiunta la prova: l’operazione risulta autenticata con due fattori distinti, tra enrollment del device, reset password autorizzato via push con PIN, accesso all’home banking e autorizzazione del bonifico tramite app con PIN e notifica parlante riportante importo e beneficiario. Il deposito dei log con legenda è idoneo, secondo l’orientamento condiviso, a integrare la prova richiesta dall’art. 10-bis d.lgs. n. 11/2010.

La prova della SCA costituisce però un prius logico rispetto alla prova della colpa grave. Il Collegio ravvisa la colpa grave del ricorrente nella mancata custodia delle credenziali: tutta l’operatività del truffatore è stata autorizzata tramite il device riconducibile al cliente. Il ricorrente non ha inoltre allegato né l’sms civetta né l’evidenza delle chiamate, non consentendo di verificare la riconducibilità del mittente all’intermediario. Non risultano indicatori di anomalia ai sensi del DM 2007 idonei a ridurre la gravità della colpa. Il ricorso è pertanto respinto.