Truffa informatica con bonifici disposti dal cliente e responsabilità del PSP (ABF Collegio di Milano n. 2635 del 23.03.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente l’operazione, inserendo la disposizione e tutti i fattori di autenticazione, il bonifico deve considerarsi autorizzato e non opera il regime di responsabilità per le operazioni non autorizzate di cui alla PSD2 e al D. Lgs. n. 11/2010. Rientrano in questa fattispecie le operazioni eseguite seguendo le indicazioni del frodatore, anche le c.d. operazioni “sotto dettatura” e, a fortiori, quelle compiute nella piena consapevolezza di disporre un pagamento. Resta ferma la possibilità di riconoscere una responsabilità concorrente del PSP secondo le norme di diritto comune, ma solo quando dalla documentazione emerga un apporto causale dell’intermediario alla frode: indisponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, mancato rilievo di indici di frode.

Il Fatto

Il ricorrente riferisce di essere stato vittima, il 26 febbraio 2025, di una truffa informatica. Nella stessa serata disponeva sei bonifici, per complessivi € 14.150,00, a valere su due conti correnti intrattenuti presso il primo intermediario e verso correntisti del secondo intermediario. Le operazioni venivano eseguite tra le 19.10 e le 19.59.

Il cliente disconosceva le operazioni e chiedeva il rimborso a entrambi gli istituti, producendo denuncia presentata il 27 febbraio 2025. Contestava al primo intermediario l’inerzia nell’invio delle richieste di recall e l’assenza di un sistema di blocco prudenziale dei trasferimenti nelle ore notturne; al secondo, di non aver sospeso la disponibilità delle somme accreditate. Entrambi gli intermediari chiedevano il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il perimetro soggettivo della controversia. I bonifici erano stati disposti su due conti distinti, uno del cliente e uno della moglie, aderente al ricorso. In assenza dei contratti di conto corrente e di documentazione su eventuali deleghe, le indicazioni dell’intermediario sull’intestazione esclusiva dei conti sono ritenute attendibili perché non contestate.

Nel merito, è pacifico che le operazioni siano state eseguite direttamente dal cliente, il quale, cadendo vittima di un raggiro, ha personalmente disposto i bonifici nella convinzione di “stornarli” come richiesto da un interlocutore telefonico. La circostanza che il pagatore abbia inserito la disposizione e tutti i fattori di autenticazione porta a qualificare l’operazione come autorizzata: non viene in rilievo il regime degli artt. 10 ss. del D. Lgs. n. 11/2010, né l’intermediario è tenuto alla prova dell’autenticazione.

Il Collegio chiarisce però che l’esonero non equivale a immunità. Una responsabilità concorrente del PSP può essere affermata secondo le norme di diritto comune quando emerga un apporto causale dell’intermediario alla frode. Individua tre ipotesi: indisponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, mancato rilievo di indici di frode nell’ipotesi in cui il blocco delle transazioni avrebbe reso il cliente consapevole della loro natura.

Nessuna di tali ipotesi ricorre. Quanto al numero verde, dalla denuncia emerge che il cliente fu messo in contatto con il truffatore; manca però ogni evidenza del registro chiamate. Il primo intermediario ha tentato senza successo il recall il 27 e 28 febbraio, mentre le comunicazioni del cliente sono comunque pervenute dopo il cut off delle ore 20. Il secondo intermediario ha documentato che già il 26 febbraio le somme erano state trasferite su conti esterni, e che i titolari dei conti destinatari erano irreperibili.

Il Collegio esclude infine la configurabilità degli indici di frode previsti dal D.M. 112/2007, tanto più che le disposizioni riguardavano due conti diversi, e rileva che non sono stati esibiti gli estratti conto necessari a valutare un’eventuale inconsueta movimentazione. Sono invece in atti le comunicazioni dell’esecuzione delle operazioni mediante sms e notifica push. Il ricorso è pertanto respinto.