Responsabilità concorrente di banca e cliente per operazioni anomale e frodi digitali (ABF Collegio di Napoli n. 647 del 26.01.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che abbia correttamente applicato l’autenticazione forte del cliente non è automaticamente esente da responsabilità: deve provare il dolo o la colpa grave dell’utente e, in mancanza, risponde dei pregiudizi subiti in ragione del rischio d’impresa. Quando l’operatività si discosti in modo macroscopico dalla movimentazione storica del cliente per numero, importo, beneficiario e tempi di esecuzione, l’intermediario è tenuto a valorizzare tali indici di anomalia e a intervenire. La condotta del cliente che esegua le istruzioni di un interlocutore fraudolento integra colpa grave, ma se anche l’intermediario omette ogni reazione all’anomalia si configura un concorso di colpa da graduare in pari misura.

Il Fatto

Il ricorrente riferisce di aver ricevuto un sms apparentemente proveniente dall’utenza del servizio clienti dell’intermediario, che lo avvertiva di un tentativo di accesso al conto. Contattato il numero indicato, un interlocutore qualificatosi come operatore lo induceva ad aggiornare l’applicazione: al termine dell’operazione il conto risultava svuotato per euro 14.845,68, tra cinque bonifici istantanei da 2.000,00 euro ciascuno in favore di un unico beneficiario e un pagamento su carta di 4.845,68 euro.

Il reclamo del 21.5.2025 veniva riscontrato negativamente il 23.6.2025. Il ricorrente chiedeva quindi il rimborso, il risarcimento del danno non patrimoniale di 2.500,00 euro e le spese legali di 1.000,00 euro. L’intermediario eccepiva la regolarità formale delle operazioni, tutte autenticate con SCA sul device personale del cliente, e la condotta gravemente colposa di quest’ultimo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile: artt. 97 e 98 della direttiva PSD2, art. 10-bis del d.lgs. n. 11/2010, Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA. La responsabilità del prestatore è esclusa solo se, oltre a dimostrare l’autenticazione a due fattori, provi il dolo o la colpa grave dell’utente. L’uso di uno strumento registrato non basta di per sé: l’onere probatorio grava sull’intermediario, che non si libera con la mera regolarità formale delle transazioni.

Nel caso concreto le operazioni risultano correttamente autenticate: i bonifici sono stati autorizzati da un device associato al profilo dal novembre 2023, con codice PIN impostato dal cliente nel febbraio 2020 e mai modificato, e con notifiche push riportanti importo e beneficiario. Anche il pagamento su carta è avvenuto tramite conferma con password su dispositivo certificato.

Il Collegio ravvisa però la colpa grave del ricorrente, che ha eseguito le istruzioni dell’ignoto interlocutore installando un programma che ha consentito le disposizioni fraudolente, in linea con un orientamento consolidato dei Collegi.

Segnala tuttavia che i sistemi dell’intermediario hanno registrato cinque bonifici di pari importo verso un unico beneficiario a distanza di pochi minuti (ore 16:25, 16:27, 16:28, 16:29 e 16:30 del 24.5.2024) e, alle 16:42, un pagamento su carta classificato come ad alto rischio per importo, senza alcun alert al cliente. Pur non esistendo un obbligo normativo di monitoraggio preventivo delle transazioni, i Collegi valorizzano indici ulteriori di frode in presenza di operatività anomala, quali numero, tipologia, importo, tempi e riconducibilità al medesimo beneficiario. Tutti questi indici ricorrono nella specie.

Ne deriva un concorso di colpa in eguale misura: l’intermediario è tenuto a corrispondere 7.423,00 euro, oltre interessi dalla data del reclamo. Rigettate invece le domande di danno non patrimoniale, prive di riscontro probatorio, e di spese legali, riferite a fattura intestata a soggetto diverso dal ricorrente.