Truffa telefonica e bonifico disconosciuto: prova SCA e colpa grave del cliente (ABF Collegio di Milano n. 2725 del 26.03.2026)

Principi di diritto (Massima)
In caso di disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento deve provare l’avvenuta autenticazione forte del cliente, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Il raggiungimento di tale prova non è tuttavia sufficiente: per essere esonerato da responsabilità ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010, l’intermediario deve dimostrare che l’uso indebito dello strumento è riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta imposti dall’art. 7 d.lgs. n. 11/2010. La colpa grave può essere desunta dalle modalità esecutive dell’operazione, quando la truffa rientri tra gli schemi più diffusi e riconoscibili con l’ordinaria diligenza.

Il Fatto

La ricorrente contattava telefonicamente il servizio clienti della banca per informazioni sul proprio conto corrente. Poco dopo riceveva una chiamata, apparentemente proveniente dallo stesso servizio, con cui un interlocutore la avvertiva di un bonifico di 4.000,00 euro in favore di un soggetto sconosciuto e la induceva a trasferire tutto il danaro depositato su un diverso conto. La cliente riferisce di avere visto il cursore del proprio computer muoversi dall’esterno e, insospettita, di avere interrotto la comunicazione; subito dopo riceveva un’ulteriore chiamata da un sedicente agente di Polizia di Milano che confermava la necessità del trasferimento.

Dall’estratto conto emergeva che, oltre al bonifico fraudolento, era stata trasferita la somma di 46.389,88 euro su un secondo conto. In data 16/01/2025 la cliente disconosceva l’operazione e sporgeva denuncia, chiedendo la restituzione di 4.000,00 euro, il risarcimento del danno extracontrattuale e la refusione delle spese legali. L’intermediario resisteva, sostenendo che le operazioni erano state eseguite con autenticazione forte e che la cliente aveva tenuto una condotta gravemente colposa.

La motivazione del Collegio

Il Collegio qualifica l’operazione alla stregua del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2. Escluso che la cliente abbia dichiarato in denuncia di avere condiviso lo schermo con il truffatore, il Collegio applica la disciplina dell’art. 10, comma 1, d.lgs. n. 11/2010, che pone a carico del prestatore di servizi di pagamento l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di conseguenze da malfunzionamenti.

Richiamata la nozione di autenticazione forte del cliente di cui all’art. 1, lett. qbis, nonché gli artt. 97 e 98 PSD2, l’art. 10 bis d.lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389, il Collegio verifica il concreto svolgimento dell’operazione. Dai log allegati risulta che la cliente ha inserito i dati del bonifico, che l’intermediario ha preparato una notifica push non consegnata e che l’autorizzazione è stata completata mediante un codice operazione temporaneo generato dall’app e un codice token reimmesso sul PC. Secondo la decisione, tali elementi integrano l’elemento di possesso, unitamente al riutilizzo del PIN della fase di login, avvenuto “within a matter of minutes within the same session”, come chiarito dall’EBA.

Accertata la SCA, il Collegio esamina la seconda condizione dell’esonero, richiamando la decisione del Collegio di Coordinamento n. 22745/2019: la documentazione sull’autenticazione e la formale regolarità dell’operazione non soddisfano di per sé l’onere probatorio, occorrendo elementi di fatto dai quali desumere in via presuntiva la colpa grave dell’utente. Nel caso concreto il Collegio ritiene provata la colpa grave, perché la complessiva dinamica della frode presentava caratteri evidenti di grossolanità: lo schema, consistente nell’indurre il titolare dello strumento a comunicare o inserire le proprie credenziali, è tipico e ormai noto. La ricorrente va quindi considerata vittima di colpevole credulità, secondo l’orientamento del Collegio di Coordinamento n. 3498 del 26/10/2012.

Il Collegio precisa infine che la riconosciuta colpa grave non escluderebbe altri profili di responsabilità dell’intermediario sul versante degli obblighi di protezione, in particolare per la mancata gestione di eventi che segnalino possibili frodi o anomalie; profili che nella vicenda non ricorrono. Il ricorso è pertanto respinto.