Operazioni fraudolente mediante bonifici istantanei
Nota a delibera – Collegio ABF Palermo, Decisione n. 7384/2025
Tema: Operazioni fraudolente mediante bonifici istantanei – responsabilità dell’intermediario – applicazione della normativa PSD2 – colpa grave dell’utente
1. Contesto fattuale e oggetto della decisione
La delibera in esame affronta una controversia insorta tra una cliente bancaria e l’intermediario, in relazione all’esecuzione fraudolenta di sei bonifici istantanei per un importo complessivo pari a € 4.380,00. L’utente contesta la legittimità delle operazioni e ne richiede l’integrale rimborso, sostenendo di non aver autorizzato i pagamenti e di non aver fornito le proprie credenziali. L’intermediario, invece, attribuisce l’accaduto alla condotta negligente dell’utente, affermando che tutte le operazioni sono state validate secondo i criteri della Strong Customer Authentication (SCA) previsti dalla Direttiva PSD2 e dalla normativa nazionale di recepimento (D.Lgs. 11/2010 e ss.mm.).
2. Quadro normativo di riferimento
La delibera si fonda su un articolato impianto normativo europeo e nazionale. In particolare:
-
Direttiva (UE) 2015/2366 (PSD2), recepita in Italia con D.Lgs. 15 dicembre 2017, n. 218, che ha modificato il D.Lgs. 11/2010, stabilisce i requisiti di sicurezza nelle operazioni di pagamento elettronico;
-
Regolamento delegato (UE) 2018/389, che integra la PSD2 in tema di autenticazione forte del cliente;
-
Art. 10, comma 2, D.Lgs. 11/2010, che impone all’intermediario l’onere di provare la frode, il dolo o la colpa grave dell’utilizzatore per esimersi da responsabilità in caso di operazioni non autorizzate.
3. Accertamenti effettuati dal Collegio
Il Collegio di Palermo ha concentrato l’analisi su tre profili principali:
-
Verifica della correttezza del sistema SCA adottato dall’intermediario:
-
Tutte le operazioni sono state autorizzate tramite codice OTP e fattori biometrici;
-
Le notifiche push sono risultate correttamente inoltrate a dispositivi registrati;
-
È stato registrato un nuovo device con procedura conforme alla normativa, comprensiva di autenticazione a più fattori.
-
-
Comportamento dell’utente e profili di colpa grave:
-
Il Collegio ha ritenuto che la ricorrente avesse ricevuto un sms con errori sintattici tali da destare sospetti sulla genuinità del messaggio;
-
La mancata vigilanza sulla registrazione del nuovo dispositivo, completata tramite OTP, è stata ritenuta connotata da colpa grave, ostativa al rimborso;
-
Il silenzio mantenuto sulla dinamica concreta della truffa ha aggravato la posizione dell’utente, in quanto ostativo a una ricostruzione completa dei fatti.
-
-
Valutazione di anomalie nelle operazioni:
-
Sebbene i bonifici siano stati numerosi e ravvicinati, sono stati disposti da tre diversi conti, rendendo meno evidente l’anomalia e meno esigibile l’obbligo di blocco preventivo da parte dell’intermediario.
-
4. Principi giurisprudenziali richiamati
Il Collegio richiama espressamente la decisione del Collegio di Coordinamento n. 22745/2019, la quale afferma che:
“La sola prova della regolarità formale dell’autenticazione non è sufficiente ad assolvere l’intermediario dall’onere probatorio. È necessario fornire ulteriori elementi che dimostrino la condotta dolosa o gravemente colposa dell’utilizzatore”.
La decisione aderisce, inoltre, all’orientamento per cui l’accertata adozione di un sistema conforme alla normativa sulla SCA costituisce presunzione favorevole all’intermediario, salvo prova contraria che incombe all’utente (cfr. ABF, Collegio di Roma, dec. n. 19442/2022).
5. Esiti e considerazioni finali
Il Collegio ha ritenuto che:
-
La procedura di registrazione del nuovo dispositivo, l’autenticazione delle operazioni e le notifiche push erano conformi alla normativa vigente;
-
La ricorrente ha agito con colpa grave, atteso che ha assecondato una richiesta sospetta e non ha vigilato sull’uso del proprio profilo;
-
L’assenza di prove sufficienti a dimostrare un difetto del sistema di sicurezza esclude la responsabilità dell’intermediario.
Pertanto, il ricorso è stato respinto integralmente.
6. Osservazioni conclusive
La decisione rappresenta un ulteriore consolidamento dell’orientamento giurisprudenziale che pone l’accento sull’onere collaborativo e di diligenza dell’utente, soprattutto in ambito digitale. La banca, qualora dimostri l’adozione di strumenti di autenticazione conforme alla PSD2 e l’assenza di disfunzioni tecniche, non risponde del danno se l’utente agisce con negligenza, anche solo potenziale.
Si conferma inoltre che, in assenza di chiari segnali di anomalia delle operazioni (es. importi sproporzionati, area geografica atipica, orari inconsueti), non è configurabile un concorso di colpa dell’intermediario.
Riferimenti giurisprudenziali correlati:
-
Cass. civ., sez. I, 24 gennaio 2022, n. 2080 – sull’onere probatorio dell’intermediario in caso di operazioni contestate.
-
ABF Milano, dec. n. 4136/2021 – sulla colpa grave per errata gestione delle credenziali.
-
ABF Napoli, dec. n. 1520/2023 – sulla responsabilità dell’utente nell’installazione inconsapevole di un secondo device.
Dec-20250729-7384
