Due decisioni dell’Arbitro Bancario Finanziario pubblicate il 17 luglio chiariscono un principio decisivo: prima di contestare la colpa grave del cliente, la banca deve provare l’intera catena di autenticazione. In un caso il ricorso viene respinto; nell’altro scatta il rimborso integrale di 7.400 euro.
Due frodi digitali. Due clienti che, ingannati da falsi interlocutori, compiono operazioni decisive per il successo della truffa. Due richieste di rimborso presentate all’Arbitro Bancario Finanziario. Eppure, due conclusioni opposte.
Nel primo caso, relativo a un pagamento online di 350 euro, il Collegio di Milano respinge il ricorso e attribuisce alla cliente una condotta gravemente colposa. Nel secondo, riguardante quattro bonifici istantanei per complessivi 7.400 euro, ordina invece all’intermediario di restituire integralmente le somme sottratte.
Non è una contraddizione. È la conseguenza di una regola probatoria precisa: la colpa grave del cliente può essere esaminata soltanto dopo che la banca ha dimostrato la corretta autenticazione delle operazioni.
È questo il punto di contatto tra le decisioni ABF n. 4697 e n. 4701 del 26 maggio 2026, comprese nel gruppo di pronunce pubblicato il 17 luglio.
Il falso acquirente e il pagamento da 350 euro
La prima controversia nasce da una dinamica ormai frequente sulle piattaforme di compravendita online.
Una donna pubblica un annuncio e viene contattata da un presunto acquirente, che le chiede di proseguire la conversazione su WhatsApp. L’interlocutore le invia quindi un link diretto verso una pagina apparentemente legittima, ma in realtà controllata dai truffatori.
La cliente inserisce i dati della propria carta e un codice OTP ricevuto sul telefono. Crede di stare completando una verifica necessaria per ricevere il pagamento; scopre invece di avere autorizzato un addebito di 350 euro. Blocca immediatamente la carta, disconosce l’operazione e presenta denuncia.
Davanti all’ABF, l’intermediario riesce però a ricostruire il processo di autenticazione.
Le tracciature informatiche mostrano l’utilizzo di un OTP inviato tramite SMS al numero certificato della cliente, considerato fattore di possesso, e di un ulteriore codice conosciuto dalla stessa, quale fattore di conoscenza. Il Collegio ritiene quindi provata la conformità dell’operazione alla Strong Customer Authentication.
Superato il vaglio tecnico, l’attenzione si sposta sul comportamento della ricorrente.
Il mittente e il link ricevuti non erano riconducibili alla banca. La cliente non aveva prodotto documentazione sufficiente a ricostruire integralmente i contatti con il truffatore. Soprattutto, l’intermediario aveva documentato l’invio di due messaggi nei quali veniva indicata la natura dell’operazione e veniva precisato che lo strumento di pagamento utilizzato non era abilitato a ricevere accrediti, perché privo di IBAN.
La cliente, in altri termini, aveva effettuato un pagamento nella convinzione di dover ricevere del denaro.
Per l’ABF, l’insieme di questi elementi supera la soglia della semplice disattenzione. La condotta viene qualificata come gravemente colposa e il ricorso è respinto.
Il falso operatore, il nuovo token e i quattro bonifici istantanei
La seconda decisione riguarda una frode molto più articolata.
Il cliente riceve una prima telefonata da un numero che il telefono identifica come appartenente all’intermediario. Segue una seconda chiamata proveniente da un numero pubblicamente associato a una filiale della banca. Il sedicente operatore conosce dati bancari riservati e segnala presunti tentativi di accesso fraudolenti.
La vittima viene guidata nella modifica delle credenziali dell’home banking e invitata ad autorizzare alcune operazioni, descritte come necessarie per annullare bonifici sospetti. Riceve poi una terza telefonata, durante la quale gli viene chiesto di modificare il token di sicurezza, e un’e-mail strutturalmente simile alle comunicazioni ufficiali della banca.
Al termine della sequenza scopre che sono stati disposti quattro bonifici istantanei verso destinatari sconosciuti, per un totale di 7.400 euro.
L’intermediario sostiene che le operazioni siano state eseguite con le corrette credenziali e approvate mediante notifiche push sull’app. Secondo la banca, il cliente avrebbe inoltre comunicato al frodatore i codici necessari per eseguire i primi due bonifici e il codice di attivazione del nuovo token, utilizzato per i successivi.
Una ricostruzione che, almeno in apparenza, sembra condurre verso la colpa grave.
Ma il Collegio si ferma prima.
Autenticare non significa necessariamente autorizzare
La decisione n. 4701 introduce una distinzione fondamentale.
Il fatto che il cliente abbia seguito le istruzioni del truffatore, modificato le credenziali o inserito uno dei fattori di autenticazione non comporta automaticamente che abbia disposto o autorizzato integralmente i bonifici.
Secondo l’orientamento richiamato dall’ABF, quando il contributo dell’utente nella fase dispositiva o autorizzativa è soltanto parziale, la transazione non può considerarsi autorizzata per questa sola ragione. Il consenso deve essere prestato nella forma concordata tra il cliente e il prestatore di servizi di pagamento.
È un passaggio rilevante anche sul piano tecnico.
Una cosa è dimostrare che il cliente abbia digitato un codice, aperto un’applicazione o approvato una richiesta. Altra cosa è provare che quel gesto fosse collegato proprio a una determinata operazione, presentata all’utente con le informazioni necessarie e autenticata attraverso i fattori previsti dal sistema.
Non basta quindi osservare il risultato finale: occorre ricostruire l’intera catena.
I vuoti nella documentazione della banca
Nel caso dei quattro bonifici, questa catena non è stata dimostrata.
Per i login precedenti alle prime due operazioni mancava la prova di entrambi i fattori di autenticazione. Non risultava inoltre l’inserimento del PIN necessario per aprire l’applicazione e generare la notifica push. Della stessa notifica, che secondo la banca sarebbe stata approvata dal cliente, non era presente un’evidenza sufficiente.
La colpa grave non può colmare le lacune della prova tecnica: prima la banca deve ricostruire l’intera catena di autenticazione, poi può contestare il comportamento del cliente.
Anche la creazione del nuovo token virtuale restava poco chiara. Nei documenti figuravano un SMS relativo al token e un dato denominato ACTIVATION_DATA, ma l’intermediario non aveva spiegato compiutamente come il token fosse stato generato, associato al cliente e impiegato nelle singole operazioni. Per il terzo e il quarto bonifico, inoltre, non risultava provato l’utilizzo del token indicato dalla banca.
I log, dunque, non consentivano di ricostruire in modo completo né l’autenticazione degli accessi né quella delle disposizioni.
A quel punto, per il Collegio, il giudizio sulla condotta del cliente diventa irrilevante. La prova della corretta autenticazione rappresenta infatti un passaggio logicamente precedente rispetto all’accertamento della colpa grave.
Il ricorso viene accolto e la banca deve restituire 7.400 euro con buona valuta.
Perché le due decisioni non si contraddicono
In entrambe le vicende il cliente coopera, almeno materialmente, con il truffatore.
Nel primo caso inserisce i dati della carta e l’OTP su un sito fraudolento. Nel secondo modifica le credenziali, interviene sul token e segue le indicazioni del falso operatore.
La differenza non risiede quindi nella semplice presenza di un comportamento imprudente. Risiede nella prova fornita dall’intermediario.
Nella decisione n. 4697, la banca dimostra i fattori di autenticazione utilizzati e documenta i messaggi che chiarivano la natura dispositiva dell’operazione. Solo dopo questa ricostruzione l’ABF valuta la condotta della cliente e ravvisa la colpa grave.
Nella decisione n. 4701, invece, restano scoperti passaggi essenziali: i fattori utilizzati nei login, l’inserimento del PIN, la generazione e l’approvazione delle notifiche push, la creazione del token virtuale e il suo collegamento alle singole disposizioni.
La banca chiede quindi al Collegio di valutare la negligenza del cliente senza avere prima completato la dimostrazione tecnica dell’autenticazione. Ed è proprio questo salto logico a determinare il rimborso.
La continuità con le precedenti decisioni sulla SCA
Le due pronunce aggiungono un tassello al percorso già tracciato dal Collegio di Coordinamento con la decisione n. 4274/2026.
In quel caso, analizzato su Be Bankers, l’ABF aveva ritenuto regolare il processo di autenticazione e aveva successivamente riconosciuto la colpa grave della cliente, che aveva comunicato informazioni e codici a un falso operatore. La decisione aveva chiarito anche le condizioni per l’utilizzo delle esenzioni SCA e il possibile impiego del CVV dinamico come fattore di autenticazione.
Le nuove pronunce confermano quella struttura, ma ne mostrano entrambe le possibili conseguenze.
Quando la SCA è provata, la condotta del cliente può condurre al rigetto della richiesta di rimborso. Quando la prova è incompleta, invece, l’intermediario non può colmare le lacune dei propri log invocando la collaborazione prestata dalla vittima al frodatore.
La colpa grave non sostituisce la prova tecnica.
Il contenzioso si decide sulla cronologia degli eventi
Per il legale, le decisioni indicano un ordine preciso nell’impostazione della controversia.
La prima domanda non dovrebbe essere quanto fosse sofisticata la frode o quanto imprudente sia stato il cliente. Occorre anzitutto verificare se l’intermediario abbia documentato, per ciascuna operazione, l’accesso al servizio, i fattori utilizzati, il dispositivo coinvolto, l’eventuale attivazione di un nuovo token, la generazione della richiesta autorizzativa e l’effettiva approvazione da parte dell’utente.
Solo dopo si può discutere di colpa grave.
Per il consulente tecnico, il problema non è soltanto estrarre dati dai sistemi, ma trasformarli in una sequenza probatoria comprensibile. Un log privo di spiegazioni, un codice proprietario non contestualizzato o una schermata che non consente di collegare sessione, dispositivo e transazione possono essere tecnicamente autentici, ma processualmente insufficienti.
Timestamp, identificativi di sessione, device ID, eventi di enrollment del token, fattori richiesti, esiti delle autenticazioni, contenuto delle notifiche e correlazione con le singole disposizioni devono comporre una cronologia coerente. Il Collegio deve poter comprendere non soltanto che “il sistema ha registrato qualcosa”, ma che cosa quell’evento dimostri e a quale operazione si riferisca.
Prima i log, poi la colpa grave
Le decisioni n. 4697 e n. 4701 consegnano dunque una regola semplice, ma spesso trascurata.
Non basta che il cliente abbia cliccato un link, digitato un OTP o seguito le istruzioni di un falso operatore per escludere il rimborso. Ma non basta neppure che la vittima invochi la sofisticazione della truffa per sottrarsi alle conseguenze di una condotta macroscopicamente imprudente.
La controversia si decide seguendo un ordine.
Prima la banca deve provare l’autenticazione. Poi può dimostrare la colpa grave.
Nel contenzioso sulle frodi digitali, la differenza tra un ricorso respinto e un rimborso integrale può trovarsi in un passaggio mancante, in una notifica non documentata o in un token che compare nei sistemi senza che nessuno riesca a spiegare come sia stato attivato.
La tecnologia esegue le operazioni. Ma, davanti all’Arbitro, sono i log a doverle raccontare.
Iscriviti alla newsletter: https://www.bebankers.it/newsletter/
