Truffa informatica e prova: mancata allegazione dei fatti integra colpa grave (ABF Collegio di Bologna n. 2516 del 18.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento on line disconosciute dall’utilizzatore, l’art. 10 del d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata. Tale prova non esaurisce tuttavia l’onere probatorio: il PSP deve indicare gli elementi di fatto che consentono di desumere, in via presuntiva, la colpa grave dell’utente. Quando il ricorrente non alleghi le circostanze in cui sarebbe avvenuta la frode, la mancata allegazione, unita alla prova dell’autenticazione forte e all’assenza di indici di anomalia, fonda il convincimento del Collegio circa la sussistenza della colpa grave e giustifica il rigetto della domanda di rimborso.

Il Fatto

La ricorrente, titolare di un conto corrente presso l’intermediario, riferiva di aver appreso il 3 dicembre 2024, tramite una comunicazione ricevuta sulla casella di posta elettronica, dell’esecuzione di un bonifico istantaneo di € 3.000,00 disposto il 26 novembre 2024 e da lei non autorizzato. Bloccava immediatamente il conto, presentava denuncia e inoltrava all’intermediario il modulo di disconoscimento dell’operazione, senza ottenere il rimborso richiesto.

La cliente adiva quindi l’ABF chiedendo la restituzione della somma, sostenendo di non avere colpa grave perché, come cliente medio, priva delle competenze tecniche per riconoscere l’illecito altrui. L’intermediario eccepiva che l’operazione era stata disposta tramite il dispositivo registrato della cliente, con doppio fattore di autenticazione e senza anomalie, e che la ricostruzione dei fatti era generica, prospettando un episodio di phishing o vishing non meglio precisato.

La motivazione del Collegio

Il Collegio richiama la disciplina dei servizi di pagamento applicabile ratione temporis, ossia il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Muovendo dall’art. 10, ribadisce che spetta all’intermediario provare l’autenticazione, la registrazione e la contabilizzazione dell’operazione, e che in difetto di tale prova esso sopporta integralmente le conseguenze del disconoscimento.

Sul piano probatorio, il Collegio esamina la documentazione prodotta: l’enrollment dell’app sul dispositivo registrato, l’accesso all’area riservata in data 26 novembre 2024 con evidenza del doppio fattore di autenticazione — fattore di possesso e fattore di conoscenza — e la finalizzazione del bonifico pochi minuti dopo. Sebbene dai log non emerga in modo diretto l’inserimento del codice PIN a sei cifre, l’intermediario descrive il processo di autenticazione e la sequenza risulta comprensibile: ciò integra, secondo il Collegio, la prova della Strong Customer Authentication.

Richiamata la decisione del Collegio di Coordinamento n. 22745/2019, il Collegio precisa che la prova dell’autenticazione non basta da sola, dovendo l’intermediario indicare gli elementi di fatto dai quali desumere in via presuntiva la colpa grave dell’utente. Nel caso concreto, la ricorrente non ha allegato le circostanze in cui sarebbe avvenuta la truffa. Il Collegio distingue l’ipotesi in cui la mancata autorizzazione è legalmente presunta — furto o smarrimento dello strumento, qui non ricorrente — da quella in cui il ricorrente deve allegare i fatti che rendano plausibile l’intervento di un terzo non autorizzato.

La mancata allegazione assume rilievo, insieme ad altre circostanze, quando l’intermediario ha provato l’autenticazione, il sistema è conforme alla SCA e non emergono indici di anomalia. Il Collegio verifica anche i possibili segnali di frode — mancato blocco di operazioni sospette, indicatori del D.M. 112/2007, utilizzo di IP estero, assenza di sms-alert — ma li ritiene non significativi trattandosi di una sola operazione contestata. Su queste basi conclude per la sussistenza della colpa grave e non accoglie il ricorso.