Truffa informatica con operazioni disposte dal cliente esclude responsabilità del PSP (ABF Collegio di Palermo n. 8023 del 03.09.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite materialmente dall’utilizzatore, ancorché indotte dal raggiro di un terzo, non costituiscono transazioni non autorizzate e restano estranee alla disciplina di cui al d.lgs. n. 11/2010, con conseguente esclusione della responsabilità del prestatore di servizi di pagamento. Ove si voglia diversamente opinare, il PSP è esente da responsabilità quando provi l’adozione di un sistema di sicurezza adeguato, la corretta registrazione, autenticazione e contabilizzazione dell’operazione secondo la SCA, nonché la colpa grave dell’utilizzatore. Quest’ultima è integrata dal comportamento di chi dia credito a un sms proveniente da recapito sconosciuto, contatti un numero non riconducibile all’intermediario e fornisca codici personali a un soggetto estraneo. L’onere probatorio dell’intermediario non si esaurisce nella prova dell’autenticazione formale, ma richiede elementi di fatto sulle modalità esecutive dell’operazione.

Il Fatto

Il ricorrente riferisce di aver subito una truffa con cui gli sarebbe stata sottratta una somma superiore a € 10.000,00, di cui chiede la restituzione, almeno parziale, invocando la responsabilità dell’intermediario.

Secondo la ricostruzione, l’utente avrebbe ricevuto un sms che lo avvisava della disposizione di un pagamento sul proprio conto e lo invitava a contattare un numero per disconoscerlo. Chiamato quel recapito, avrebbe parlato con un sedicente agente della polizia postale, il quale, prospettando la presenza di dipendenti infedeli presso la filiale, lo avrebbe indotto a eseguire una serie di pagamenti “per mettere al sicuro il denaro”. Il ricorrente contesta che l’intermediario dovesse predisporre sistemi di sicurezza idonei e attivare un sistema antifrode, essendo state effettuate più operazioni in un breve arco temporale. L’intermediario eccepisce che le operazioni sarebbero state eseguite personalmente dal cliente, autorizzate in modalità SCA, e imputabili a colpa grave del ricorrente; la procedura di recall avrebbe avuto esito negativo.

La Motivazione della Corte

Il Collegio individua le operazioni contestate in sette bonifici istantanei, tutti eseguiti in data 13/2/2026 per complessivi € 10.030,00. Accoglie preliminarmente il rilievo dell’intermediario secondo cui gli ultimi due bonifici — per complessivi € 1.500,00 — sarebbero stati eseguiti verso un conto intestato allo stesso ricorrente, con la conseguenza che gli stessi non hanno comportato alcun depauperamento e non possono formare oggetto di restituzione.

Nel merito, il Collegio ricostruisce il quadro normativo applicabile: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2), gli artt. 97 e 98 PSD2, le norme tecniche EBA recepite con il Regolamento delegato (UE) 2018/389 e il parere EBA del 21/6/2019. Affinché l’intermediario vada esente da responsabilità, occorre la prova dell’insussistenza di malfunzionamenti, dell’adozione di un sistema di sicurezza adeguato e della corretta registrazione, autenticazione e contabilizzazione delle operazioni.

Richiama quindi il principio del Collegio di Coordinamento n. 22745/19: la produzione documentale volta a provare l’autenticazione e la formale regolarità dell’operazione non soddisfa di per sé l’onere probatorio, essendo necessario indicare gli elementi di fatto che caratterizzano le modalità esecutive, dai quali trarre in via presuntiva la prova della colpa grave dell’utente.

Tuttavia, dalle dichiarazioni confessorie rese dal ricorrente in sede di denuncia e nel ricorso emerge che il primo bonifico fu disposto personalmente dallo stesso, con fondati elementi per ritenere altrettanto delle altre operazioni. Il Collegio aderisce all’orientamento costante dei Collegi ABF, richiamando la propria decisione n. 2787/2024 e i precedenti ABF Palermo n. 10042/2020, ABF Roma n. 4685/2021 e ABF Milano n. 13553/2021: le operazioni eseguite personalmente dal cliente, con prestazione del consenso, non rientrano tra le transazioni non autorizzate.

In via subordinata, anche applicando il d.lgs. n. 11/2010, i file log e le schermate prodotte dimostrano l’autorizzazione tramite codice PIN e mobile token in conformità alla SCA. Il Collegio ravvisa inoltre la colpa grave dell’utente, che ha dato credito a un sms civetta con evidenti anomalie e proveniente da recapito sconosciuto. Nessuna responsabilità è ascrivibile all’intermediario, stante il sistema di alert attivato e il blocco dell’operazione delle ore 13.34 da parte del sistema antifrode, sbloccata dal cliente confermando la propria identità. Il ricorso è pertanto non accolto.