Operazioni autorizzate dal cliente vittima di raggiro – Bonifici istantanei – Assenza di obbligo generale di blocco ex ante – Responsabilità dell’intermediario.
Arbitro Bancario Finanziario, Collegio di Milano, decisione 9 luglio 2025, n. 6732
Domanda giudiziale
Il ricorrente ha adito l’Arbitro Bancario Finanziario chiedendo la restituzione di € 33.955,00, asseritamente sottratti dal proprio conto corrente, oltre a € 10.000,00 a titolo di danni patrimoniali e non patrimoniali e al rimborso delle spese legali.
A fondamento della domanda, ha dedotto di essere stato vittima di una truffa sviluppatasi tramite una piattaforma di messaggistica istantanea e successivamente collegata a una presunta piattaforma di trading online. In tale contesto, il ricorrente, seguendo le istruzioni ricevute da terzi, aveva disposto personalmente undici bonifici istantanei in poche ore tramite l’app di home banking dell’intermediario.
L’intermediario si è costituito chiedendo il rigetto del ricorso, sostenendo che le operazioni erano state eseguite direttamente dal cliente, con corretto utilizzo delle credenziali e dei fattori di autenticazione, e che pertanto non trovava applicazione il regime delle operazioni di pagamento non autorizzate di cui alla PSD2 e al d.lgs. 11/2010.
Fatto
La vicenda trae origine dall’inserimento del ricorrente, in data 13 dicembre 2024, in una chat di gruppo su una nota piattaforma di messaggistica. Attraverso tale canale, egli veniva indotto dapprima a svolgere attività apparentemente innocue, remunerate con piccoli bonus, e successivamente a effettuare pagamenti di importo crescente, presentati come necessari per “sbloccare” somme maturate su una piattaforma di trading online.
In esecuzione delle istruzioni ricevute, il 15 dicembre 2024 il cliente disponeva, nell’arco di circa cinque ore, undici bonifici istantanei per un importo complessivo di € 33.955,00, tutti impartiti tramite app di home banking.
Solo in un momento successivo il ricorrente si rendeva conto di essere stato raggirato e contattava l’ufficio frodi della banca. In sede di ricorso, sosteneva che la concentrazione temporale delle operazioni, la pluralità dei beneficiari e la dispersione dei bonifici verso diversi IBAN avrebbero dovuto costituire indici sufficienti per attivare i sistemi di controllo dell’intermediario o, quantomeno, per generare un alert in suo favore.
Disamina
Il Collegio muove da un rilievo preliminare: le operazioni contestate sono state personalmente eseguite dal ricorrente, che ha inserito la disposizione di pagamento e completato tutti i fattori di autenticazione richiesti. Su tale base, la decisione si inserisce nel consolidato orientamento ABF secondo cui, quando il pagamento è compiuto integralmente dal cliente, ancorché in conseguenza di un raggiro, l’operazione deve qualificarsi come autorizzata e non rientra nel perimetro applicativo degli artt. 10 ss. del d.lgs. 11/2010 in materia di operazioni non autorizzate.
Il Collegio esclude, pertanto, che la controversia possa essere risolta facendo leva sul regime probatorio e restitutorio previsto dalla PSD2 per gli utilizzi fraudolenti dello strumento di pagamento. La questione si sposta invece sul diverso terreno della possibile responsabilità dell’intermediario secondo i principi di diritto comune, per non avere impedito o intercettato tempestivamente la frode.
Sotto questo profilo, la decisione nega che possa configurarsi, in capo alla banca, un obbligo generale di blocco preventivo delle operazioni solo perché eccentriche rispetto alle abitudini del cliente. Il Collegio osserva infatti che:
- il ricorrente non ha prodotto documentazione idonea a ricostruire con precisione il contesto fraudolento, quali i messaggi ricevuti, la chat di gruppo o altri elementi utili a valutare il grado di sofisticazione del raggiro;
- la circostanza che i bonifici fossero inconsueti per importi o destinatari non è, di per sé, sufficiente, poiché il cliente può legittimamente compiere operazioni non abituali in presenza di esigenze specifiche;
- non emergevano, nel caso concreto, precisi indici di frode tali da imporre all’intermediario un intervento impeditivo ex ante.
La decisione afferma quindi un principio di particolare rilievo sistematico: l’obbligo di protezione dell’intermediario non può essere esteso fino al punto di imporre blocchi automatici al mero superamento di una certa soglia quantitativa o numerica di operazioni, in assenza di elementi ulteriori che rendano l’anomalia immediatamente percepibile come fraudolenta.
In questa prospettiva, il Collegio si colloca nel solco di quell’orientamento ABF che, per le operazioni eseguite “sotto dettatura”, esclude la responsabilità del prestatore di servizi di pagamento salvo che sia dimostrato un suo concreto apporto causale alla frode, ad esempio per mancata gestione di specifici alert o omissione di presidi doverosi in presenza di anomalie qualificate.
Conclusione
L’ABF, Collegio di Milano, ha rigettato integralmente il ricorso.
Secondo il Collegio, gli undici bonifici istantanei erano stati autorizzati direttamente dal cliente e non potevano quindi essere qualificati come operazioni non autorizzate ai sensi del d.lgs. 11/2010. Inoltre, nel caso concreto non risultavano dimostrati elementi sufficienti per affermare che la banca avrebbe dovuto bloccare preventivamente l’operatività o attivare specifici alert antifrode.
Principio di diritto
Quando il cliente, pur vittima di una truffa, esegue personalmente l’operazione di pagamento inserendo la disposizione e completando i fattori di autenticazione, l’operazione deve qualificarsi come autorizzata e non trova applicazione il regime di responsabilità previsto per le operazioni non autorizzate dalla PSD2 e dal d.lgs. 11/2010. In tale ipotesi, la responsabilità dell’intermediario può configurarsi solo ove emerga uno specifico apporto causale alla frode; non sussiste invece un obbligo generale di blocco ex ante fondato sul solo carattere inconsueto dell’operatività, in assenza di precisi indici di frode.
Legal Advice
Alla luce della decisione, l’intermediario bancario dovrebbe:
- distinguere chiaramente, nei presidi interni e nel contenzioso, tra operazioni non autorizzate in senso tecnico e operazioni personalmente disposte dal cliente a seguito di social engineering;
- rafforzare la raccolta e conservazione delle evidenze relative all’autenticazione, ai log operativi e ai tempi di esecuzione, così da poter dimostrare che l’operazione è stata materialmente impartita dal cliente;
- mappare e documentare gli indicatori di anomalia realmente significativi, evitando di fondare automatismi di blocco su meri scostamenti dalle abitudini operative, ma prevedendo escalation interne quando concorrano elementi ulteriori di rischio;
- strutturare procedure di intervento tempestivo dell’ufficio frodi e del servizio clienti, soprattutto in presenza di segnalazioni immediate del cliente o di sequenze operative che, per contesto, modalità e destinatari, presentino connotati fraudolenti più marcati;
- aggiornare la customer awareness sui fenomeni di social engineering, chiarendo che bonifici e trasferimenti effettuati personalmente su istruzioni di terzi possono rimanere, sul piano civilistico, operazioni autorizzate con conseguente rischio di mancato rimborso.
