Truffa informatica con autenticazione forte e concorso di colpa dell’utente (ABF Collegio di Roma n. 4806 del 28.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, il prestatore di servizi che dimostri l’avvenuta autenticazione forte del cliente (SCA) non è per ciò solo esente da responsabilità. Quando la truffa sia stata resa possibile da comunicazioni inviate tramite contatti ufficiali dell’intermediario e il cliente sia comunque incorso in un concorso di colpa per non aver riconosciuto l’inattendibilità dei messaggi ricevuti, il Collegio può riconoscere in via equitativa un rimborso parziale ai sensi dell’art. 1227 cod. civ..

Il Fatto

Il ricorrente riferisce di aver ricevuto, in data 13.10.2025, una telefonata in apparenza proveniente dall’intermediario, durante la quale un sedicente operatore lo avvisava di due bonifici in uscita per € 50.000,00 e € 36.000,00. Nel corso della conversazione egli forniva all’interlocutore il codice cliente e il codice di accesso, ricevendo anche sms ed email provenienti dai contatti dell’intermediario.

Solo in seguito si accorgeva di essere vittima di una truffa: i malfattori riuscivano a disporre l’operazione di € 36.000,00, mentre quella di € 50.000,00 veniva bloccata dalla banca. Il ricorrente chiede quindi il rimborso della somma sottratta. L’intermediario, costituitosi, sostiene che le operazioni sono state regolarmente autorizzate tramite autenticazione forte e rileva la colpa grave del cliente, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio osserva che il bonifico disconosciuto, disposto il 13.10.2025, ricade nell’ambito di applicazione del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 che ha recepito la c.d. PSD2 (Direttiva 2015/2366/UE). L’art. 10 d.lgs. n. 11/2010 pone a carico del prestatore di servizi l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha subito conseguenze da malfunzionamenti.

Dalla documentazione emerge che l’operazione è stata inserita dai malfattori ma perfezionata dal ricorrente mediante digitazione del codice PIN nell’app. L’accesso all’home banking è avvenuto tramite inserimento di codice cliente e codice di accesso; il sistema ha poi generato una notifica push ricevuta sul device del ricorrente, che ha inserito il PIN generando l’OTP dinamico e consentendo il c.d. dynamic linking. Il Collegio ritiene pertanto il sistema autorizzativo conforme alla SCA prescritta dalla normativa.

Tuttavia, il Collegio riconosce che il ricorrente è stato vittima di una truffa sofisticata e particolarmente insidiosa: risultano in atti evidenze che le comunicazioni con i malfattori sono avvenute tramite contatti ufficiali dell’intermediario, ossia gli screenshot delle chiamate ricevute da due numeri riconducibili alla resistente e gli sms civetta recanti l’intermediario come mittente. Ciò nonostante, i messaggi erano formulati in modo sintetico, imperativo e senza punteggiatura, integrando indici che avrebbero dovuto porre l’utente in condizione di avvedersi dell’inattendibilità delle comunicazioni.

Alla luce della complessiva analisi, rilevato il concorso di colpa tra le parti in ossequio all’art. 1227 cod. civ., il Collegio riconosce al ricorrente, in via equitativa, la somma di € 18.000,00, accogliendo parzialmente il ricorso. L’intermediario è inoltre tenuto al versamento del contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.