Truffa finto operatore e bonifico istantaneo: SCA e colpa del cliente (ABF Collegio di Milano n. 2020 del 06.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, la prova dell’autenticazione forte delle singole operazioni e di ogni loro fase costituisce un prius logico rispetto a qualsiasi accertamento sulla colpa grave del cliente, con onere a carico dell’intermediario. Ai fini dell’assolvimento di tale onere possono essere valutati, oltre ai log, anche gli ulteriori elementi esplicativi forniti dal prestatore di servizi di pagamento, quali la legenda e le difese nel caso concreto, purché consentano di verificare i singoli passaggi registrati dal sistema informatico. Ove risulti provata la compresenza dei fattori di conoscenza e di possesso, con invio degli alert al cliente, la domanda di rimborso va respinta, non essendo configurabile una responsabilità oggettiva dell’intermediario. Resta ferma la verifica di una responsabilità concorrente del prestatore secondo le norme di diritto comune, qualora emerga un suo apporto causale alla frode.

Il Fatto

Il ricorrente riferisce di essere stato contattato al telefono da un soggetto che si presentava come operatore dell’intermediario e che lo informava di tentativi di bonifico eseguiti dall’estero. Nel corso della seconda chiamata il cliente forniva il codice cliente e due sole cifre del PIN. Poco dopo constatava l’azzeramento del conto e l’attivazione di un prestito di € 30.000,00, poi annullato, mentre i movimenti fraudolenti della carta di credito venivano rimborsati. Restava non rimborsato il bonifico istantaneo di € 1.640,00, che l’intermediario attribuiva a colpa del cliente.

Il ricorrente chiede quindi la restituzione di tale importo, imputando alla banca carenze di sicurezza informatica. L’intermediario resiste, sostenendo che l’operazione è stata autorizzata con doppio fattore di autenticazione e che l’installazione dell’app su un nuovo dispositivo è avvenuta grazie alla cooperazione colposa del cliente con il truffatore. Il cliente non ha depositato repliche.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile ratione temporis, individuandolo nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017, di attuazione della direttiva PSD2, nonché nel Regolamento delegato UE 2018/389 e nei criteri interpretativi dell’EBA. Su questa base ribadisce l’orientamento consolidato dei Collegi: l’intermediario è esonerato dalla prova di autenticazione solo quando risulti pacifico o dimostrato che le operazioni siano state compiute direttamente e interamente dal cliente. Diversamente, occorre accertare la SCA per ciascuna operazione e per ogni fase, con onere probatorio a carico del prestatore.

Il Collegio precisa che la PSD2 è tecnologicamente neutrale e non impone un sistema informatico standard di tracciatura dei fattori. Pertanto, ai fini della prova, possono essere valorizzati anche la legenda e le spiegazioni fornite dal prestatore in relazione al caso concreto, purché consentano di verificare i singoli passaggi registrati. Viene inoltre richiamato il valore di prova legale che, ai sensi dell’art. 2730 c.c., possono assumere eventuali dichiarazioni confessorie del cliente.

Passando alle evidenze, il Collegio rileva che i log documentano l’enrollment della nuova app sul dispositivo del truffatore con inserimento del PIN senza errori e invio dell’OTP al numero di telefono indicato dal ricorrente come proprio. L’accesso all’app risulta completato con l’inserimento dello smartcode e l’identificativo dell’app installata sul nuovo dispositivo. Quanto al bonifico contestato, le evidenze mostrano l’autenticazione tramite tap in app e digitazione del codice segreto, con compresenza del fattore di conoscenza e del fattore di possesso. Risultano inoltre prodotte le email di alert per l’attivazione dell’app e per l’esecuzione del bonifico.

Il Collegio esclude poi profili di responsabilità dell’intermediario: non emergono indici di anomalia o di frode, vi sono evidenze sull’invio degli alert e sul tentativo di recall del bonifico, e manca la prova della chiamata asseritamente ricevuta, con impossibilità di verificarne la riconducibilità alla banca. Il ricorso è dunque respinto, restando esclusa qualsiasi forma di responsabilità oggettiva del prestatore.