Truffa telefonica e bonifico non autorizzato (ABF Collegio di Roma n. 635 del 26.01.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, ai sensi dell’art. 10, comma 1, d. lgs. n. 11 del 2010. La prova dell’utilizzo di uno strumento di pagamento registrato non è sufficiente a dimostrare l’autorizzazione dell’utente né la sua frode o colpa grave, secondo l’art. 10, comma 2, d. lgs. n. 11 del 2010. La produzione documentale attestante l’autenticazione e la formale regolarità dell’operazione non esaurisce l’onere probatorio: occorre indicare gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave dell’utilizzatore. La prova dell’autenticazione costituisce un prius logico rispetto alla valutazione della colpa grave. Ove il sistema autorizzativo sia conforme alla Strong Customer Authentication e non emerga una truffa particolarmente insidiosa, la domanda di rimborso non può trovare accoglimento.

Il Fatto

La parte ricorrente riferisce di aver ricevuto sul proprio dispositivo mobile un messaggio di testo che la informava dell’inserimento di un bonifico di Euro 4.900,00 con addebito sul proprio conto. Facevano seguito numerosi contatti telefonici con un interlocutore che si qualificava come operatore dell’intermediario e la invitava a compiere operazioni per bloccare l’addebito e prevenire frodi. La ricorrente riteneva così di aver messo in sicurezza il proprio conto.

Solo successivamente, dopo una telefonata al numero verde dell’intermediario, si rendeva conto di essere vittima di una truffa e constatava l’addebito di un bonifico di Euro 17.451,00. Chiedeva quindi il blocco dell’operazione, che le veniva comunicato come non più possibile. Proponeva ricorso chiedendo il rimborso integrale della somma, previo reclamo. L’intermediario resistente eccepiva l’inefficacia del ricorso per mancanza di denuncia, negava la riferibilità a sé del numero telefonico e del link, e sosteneva che l’operazione era stata autorizzata con sistema a doppio fattore, invocando la grave negligenza della ricorrente.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di inefficacia del ricorso per mancanza di denuncia. L’intermediario la qualificava come condizione di procedibilità. Il Collegio rileva che nessuna delle disposizioni di Banca d’Italia che regolano il procedimento dinanzi all’Arbitro attribuisce alla denuncia tale rilevanza, e pertanto il ricorso può essere deciso nel merito.

Nel merito, la documentazione contabile non è presente in atti, ma la sua esistenza è pacifica tra le parti. Si tratta di un’operazione non disposta direttamente dalla ricorrente e dunque non autorizzata. Trova quindi applicazione lo speciale regime di responsabilità dell’art. 10 e ss. d. lgs. n. 11 del 2010, come modificato dal d. lgs. n. 218 del 2018 in attuazione della direttiva 2015/2366/UE (c.d. PSD 2).

Il Collegio richiama la regola dell’onere probatorio a carico del prestatore di servizi di pagamento e il chiarimento del Collegio di coordinamento nella decisione n. 22745 del 2019: la documentazione sull’autenticazione e sulla formale regolarità dell’operazione non soddisfa di per sé l’onere, essendo necessario indicare gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave dell’utente. Secondo l’orientamento consolidato dei Collegi territoriali, la prova di autenticazione è un prius logico rispetto alla valutazione della colpa grave.

Nel caso concreto, l’intermediario ha provato, con documentazione informatica, che l’accesso al conto e l’operazione dispositiva sono avvenuti mediante inserimento di un codice segreto e generazione di una password dinamica monouso tramite token mobile. Sono stati quindi impiegati un fattore di conoscenza e un fattore di possesso, in conformità alle regole della Strong Customer Authentication, come già riconosciuto dal Collegio in altra decisione.

Quanto alla colpa grave, lo screenshot del messaggio di testo prodotto non consente di ricavare informazioni sul mittente né sulla data di ricezione. Il recapito telefonico indicato nel messaggio, al quale la ricorrente ha chiamato, non è riferibile all’intermediario. Il Collegio ritiene pertanto che la truffa non sia riconducibile a una tipologia particolarmente insidiosa e, in particolare, che la documentazione non consenta di ricondurla al c.d. SMS spoofing. Si è trattato di una truffa ordinaria, riuscita solo in virtù della condotta gravemente negligente della ricorrente. Il ricorso è pertanto respinto.