Con la decisione n. 6042 del 20 giugno 2025, il Collegio di Palermo dell’Arbitro Bancario Finanziario si è pronunciato su una fattispecie di operazioni di pagamento non autorizzate, chiarendo i criteri di riparto della responsabilità tra cliente e intermediario nei casi di frode informatica, anche in presenza di strong customer authentication.
La controversia trae origine da una truffa realizzata mediante tecniche di smishing, spoofing e vishing, a seguito della quale erano stati eseguiti quattro bonifici online per un importo complessivo di euro 19.761,00 dal conto del ricorrente, che ne chiedeva la restituzione all’intermediario.
La banca resistente deduceva la correttezza del proprio operato, evidenziando che tutte le operazioni erano state autorizzate mediante autenticazione forte a doppio fattore (PIN e OTP generato dal mobile token) e imputando l’evento fraudolento a colpa grave del cliente.
Il Collegio ha preliminarmente rilevato che l’intermediario aveva fornito adeguata prova dell’avvenuta strong customer authentication, attraverso la produzione dei log informatici attestanti l’accesso all’home banking e l’autorizzazione dei bonifici senza anomalie tecniche.
Ciò posto, l’ABF ha ritenuto sussistente una colpa grave del cliente, il quale aveva interagito con soggetti terzi, rispondendo a messaggi sospetti e scaricando un’applicazione esterna (“Cleaner”), consentendo di fatto l’accesso alle funzionalità del proprio conto. Il Collegio ha inoltre valorizzato la mancata produzione dell’SMS ricevuto e del registro delle chiamate, elementi necessari per valutare l’eventuale legittimo affidamento sulla genuinità delle comunicazioni.
Tuttavia, pur in presenza di una condotta gravemente imprudente del cliente, il Collegio ha ravvisato una responsabilità concorrente dell’intermediario, in considerazione dell’esecuzione, nella medesima giornata e in un arco temporale estremamente ristretto, di quattro bonifici verso il medesimo beneficiario, circostanza idonea a integrare un indice di anomalia.
Richiamando in via analogica gli indici di frode di cui al D.M. n. 112/2007, l’ABF ha ritenuto che l’intermediario avrebbe dovuto adottare ulteriori presidi di controllo, riconoscendo una responsabilità nella misura del 20% dell’importo complessivo disconosciuto.
Considerazioni conclusive
La decisione in commento si colloca nel solco dell’orientamento dell’Arbitro Bancario Finanziario volto a valorizzare un approccio sostanzialistico nella valutazione delle frodi informatiche, che non si arresta alla verifica formale dell’avvenuta strong customer authentication.
Pur confermando che condotte gravemente imprudenti del cliente possono escludere il rimborso integrale delle somme sottratte, il Collegio ribadisce che l’intermediario resta tenuto a presidiare il rischio di frode, specie in presenza di operazioni anomale per numero, tempistica e beneficiario.
La pronuncia fornisce, pertanto, indicazioni operative di rilievo per gli intermediari nella strutturazione dei sistemi di monitoraggio e per gli utenti nella consapevolezza dei doveri di diligenza richiesti nell’utilizzo dei servizi di pagamento digitali.
25.08.2026
