Truffa informatica e bonifico disposto dal cliente: esclusa la responsabilità della banca (ABF Collegio di Milano n. 1011 del 04.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disposte a distanza, l’autenticazione forte del cliente non esclude di per sé la responsabilità dell’intermediario, ma la verifica della sua corretta esecuzione è presupposto indispensabile per valutare il riparto dell’onere probatorio. Quando l’operazione risulti autenticata in conformità alla autenticazione forte del cliente, grava sul ricorrente l’onere di dimostrare il concorso di colpa dell’intermediario nella truffa. In assenza di tale prova e in presenza di grave negligenza del cliente, non consumatore, che abbia seguito le istruzioni di un sedicente operatore e consentito il controllo remoto del proprio dispositivo, la domanda di rimborso va rigettata.

Il Fatto

La ricorrente, società titolare di un conto corrente con operatività di home banking, ha chiesto il rimborso di euro 28.900,00 relativi a un bonifico disposto dal proprio legale rappresentante il 14 aprile 2025. Secondo la ricostruzione della ricorrente, il rappresentante aveva ricevuto un sms apparentemente proveniente dall’intermediario, che lo avvisava di movimenti sospetti e indicava un numero da contattare; seguendo le istruzioni del sedicente operatore, e poi di un presunto addetto all’ufficio antifrode, aveva eseguito un bonifico previa concessione del controllo remoto del pc.

Il cliente ha sostenuto di essere stato vittima di un attacco di smishing, vishing e Man in the browser, documentato da perizia, e ha invocato la responsabilità contrattuale dell’intermediario ai sensi del d.lgs. n. 11/2010, oltre al risarcimento del danno non patrimoniale. L’intermediario ha resistito, eccependo l’autenticazione forte dell’operazione, la revocabilità del bonifico non esercitata entro il cut off e la tardività della segnalazione.

La motivazione del Collegio

Il Collegio ha inquadrato la vicenda nell’ambito del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/17 di attuazione della direttiva PSD II. Pur essendo l’operazione posta in essere parzialmente dal cliente, si imponeva la verifica dell’autenticazione forte.

Dalle evidenze in atti è emerso il riferimento al token Vasco, quale elemento di possesso, e l’inserimento del PIN: elementi che, in linea con le pronunce del Collegio di Milano n. 7564/25 e del Collegio di Bologna n. 10226/2025, valgono a ritenere provata l’autenticazione conforme a SCA. La circostanza è stata peraltro confermata dalla stessa parte ricorrente in sede di replica.

Accertata l’autenticazione, il Collegio ha escluso elementi idonei a fondare un concorso di colpa dell’intermediario, rilevando invece la grave negligenza della ricorrente, non consumatrice. La denominazione della chat in cui era inserito il messaggio civetta non era riferibile all’intermediario; mancavano messaggi genuini antecedenti o successivi; il testo presentava errori di punteggiatura; il numero contattato non corrispondeva ad alcun contatto ufficiale. Nella denuncia, inoltre, il cliente aveva ammesso di aver consentito al truffatore il controllo remoto del pc.

Il Collegio ha quindi rigettato tutte le domande, non ravvisando né il diritto al rimborso né i presupposti per il risarcimento del danno non patrimoniale e per la rifusione delle spese legali.