Truffa online con accesso da remoto e SCA provata (ABF Collegio di Napoli n. 1802 del 26.02.2026)

Principi di diritto (Massima)
Nel disconoscimento di operazioni di pagamento disposte online, il prestatore di servizi di pagamento assolve il primo onere probatorio previsto dall’art. 10 del d.lgs. n. 11/2010 quando dimostra l’avvenuta autenticazione forte del cliente (SCA), la corretta registrazione e contabilizzazione dell’operazione. A tale prova possono concorrere, oltre ai log, anche la legenda e le difese del PSP, purché consentano di verificare i singoli passaggi registrati dal sistema. Assolto questo onere, l’uso indebito del dispositivo è ricondotto al comportamento del cliente quando questi, con grave negligenza, abbia condiviso l’accesso remoto al proprio terminale con un soggetto presentatosi come consulente, consentendogli di operare. In tale ipotesi difetta un obbligo generale di monitoraggio ex ante delle operazioni in capo all’intermediario e il ricorso va rigettato.

Il Fatto

Il ricorrente riferisce di essere stato vittima di una truffa online e di avere subito l’addebito di tre bonifici istantanei, eseguiti il 26 febbraio 2025, per complessivi 31.700 euro. Dalla denuncia emerge che, dopo avere investito su una piattaforma di criptovalute e avere chiesto lo sblocco dei fondi, un sedicente consulente gli aveva indicato di eseguire alcuni trasferimenti. Il 5 febbraio 2025 aveva disposto un bonifico di dieci euro, mai disconosciuto; il 26 febbraio, per accelerare l’esecuzione dei bonifici promessi, era stato invitato a condividere l’accesso al proprio dispositivo tramite un applicativo di controllo remoto. Solo in seguito si era avveduto che i trasferimenti erano stati addebitati e non accreditati.

Il ricorrente invoca la responsabilità della banca per non avere attivato la procedura antifrode e chiede il risarcimento del danno patrimoniale, oltre a interessi, rivalutazione, danno morale e spese di assistenza difensiva. La resistente eccepisce l’estraneità della vicenda al perimetro dell’art. 10 del d.lgs. n. 11/2010, la corretta applicazione della SCA e la condotta gravemente negligente del cliente, che avrebbe seguito le istruzioni dei frodatori senza avvedersi degli alert inviati.

La motivazione del Collegio

Il Collegio ricostruisce la contrapposizione tra le parti: la banca sostiene che tutte le operazioni sarebbero state autorizzate personalmente dall’utente, mentre il ricorrente afferma di avere autorizzato soltanto il bonifico di dieci euro del 5 febbraio. Il Collegio richiama la distinzione, elaborata dai Collegi ABF, tra operazioni autorizzate con intervento parziale del pagatore e operazioni eseguite per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione: solo in questo secondo caso l’operazione è autorizzata e sottratta al regime di responsabilità della PSD2.

Nel caso concreto il Collegio ritiene di dover applicare l’art. 10 del d.lgs. n. 11/2010, che distribuisce l’onere probatorio. L’intermediario ha fornito piena prova della corretta autenticazione conforme ai criteri SCA: valido accesso all’area riservata di internet banking e correttezza delle disposizioni, autenticate tramite username, password e pin dispositivo, con notifica PUSH sul dispositivo certificato del cliente. A sostegno la banca ha prodotto una legenda dalla quale si desume la conferma dei fattori utilizzati. Il Collegio ricorda che, essendo la PSD2 tecnologicamente neutrale, per valutare l’assolvimento dell’onere della prova della SCA possono essere considerati, oltre ai log, anche ulteriori elementi esplicativi.

Passando al secondo onere, il Collegio esamina la condotta del cliente rispetto agli obblighi dell’art. 7 del medesimo decreto. Dalla stessa denuncia risulta che il ricorrente ha condiviso con un soggetto presentatosi come consulente le informazioni relative all’applicativo di controllo remoto, consentendogli di operare sul proprio dispositivo e di compiere i bonifici. Richieste di tal genere, per la loro evidente anomalia, devono indurre il cliente a non seguire le indicazioni del falso operatore. Il ricorrente ha invece dato credito a un interlocutore della cui identità non aveva certezza, contribuendo con un apporto causale decisivamente significativo alla realizzazione della frode. Per ciascuna operazione risultano peraltro una notifica via mail e la notifica PUSH autorizzativa.

Il Collegio esclude infine la responsabilità dell’intermediario per mancanza di un sistema di monitoraggio delle frodi, richiamando l’orientamento dei Collegi territoriali e la giurisprudenza di legittimità (Cass. n. 30588/2023) sull’inesistenza di un dovere generale di monitoraggio in capo alla banca. Il tentativo di recall posto in essere dalla resistente non ha sortito effetti. Il ricorso non è pertanto accolto.