Autenticazione forte non provata e rimborso del bonifico fraudolento (ABF Collegio di Milano n. 5936 del 24.06.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che invochi l’esenzione da responsabilità deve provare il rispetto dei presidi di autenticazione forte in tutte le fasi dell’operazione, a partire dall’accesso all’area riservata. La mancanza, anche parziale, di tale prova è risolutiva e costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa grave dell’utilizzatore: finché l’autenticazione non è dimostrata, la responsabilità dell’utilizzo fraudolento resta in capo all’impresa. Il criterio di imputazione fondato su frode, dolo o colpa grave del cliente presuppone sul piano fattuale che l’utilizzo non autorizzato derivi da furto, smarrimento o illecito utilizzo dei codici dispositivi da parte di terzi frodatori.

Il Fatto

Il ricorrente aveva disposto in mattinata un bonifico-giroconto da un proprio conto presso altro intermediario verso il conto acceso presso il resistente. Nel pomeriggio, terzi ignoti avevano eseguito un bonifico istantaneo di € 7.000,00 a favore di soggetto sconosciuto; il cliente se ne avvedeva il giorno successivo, in occasione di un tentativo di prelevamento di € 100,00, e disconosceva subito l’operazione per telefono.

L’intermediario si costituiva sostenendo la correttezza della contabilizzazione e l’avvenuta autenticazione a due fattori, con assenza di anomalie nei sistemi, e deduceva di aver inserito il blocco dispositivo solo quando le somme erano già fuoriuscite. Il ricorrente replicava di non aver disposto il bonifico e contestava la prova della propria colpa grave.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE. La disciplina distribuisce gli oneri probatori in modo differenziato in caso di disconoscimento, con l’obiettivo di attribuire al prestatore la responsabilità degli utilizzi fraudolenti non cagionati da frode, dolo o colpa grave del cliente. La strong customer authentication, richiesta dagli artt. 97 e 98 della direttiva PSD2, dall’art. 10-bis del d. lgs. n. 11/2010 e dal Regolamento delegato UE 2018/389, si realizza con almeno due fattori indipendenti tra conoscenza, inerenza e possesso.

Sul piano fattuale, il Collegio ricostruisce la dinamica della truffa dalla documentazione versata dal cliente, non richiamata nelle memorie: il ricorrente era stato contattato da una presunta operatrice che, tramite condivisione dei codici della piattaforma di accesso remoto, aveva ottenuto il controllo dei dispositivi dalle ore 12:00 alle ore 17:00, assistendolo nel cambio della password dell’home banking. Il bonifico contestato risulta disposto alle ore 17:21, quindi in un momento in cui la truffatrice aveva ancora il controllo dei device.

Quanto all’autenticazione, l’intermediario descrive un primo accesso alle ore 17:07 con password e OTP SMS, un passaggio dispositivo alle 17:15 e la finalizzazione del bonifico con OTP ricevuto alle 17:20. Tuttavia, dall’analisi degli atti non è possibile verificare un’inequivoca registrazione del profilo del cliente nei sistemi della banca, né risultano evidenze di un processo di enrollment di un’app dispositiva sul suo device. La sessione dispositiva appare inoltre finalizzata tramite app e non tramite web desktop, come invece il login, pur provenendo dal medesimo indirizzo IP.

Da questi elementi il Collegio trae il convincimento che non possa dirsi provata l’autenticazione forte richiesta dalla normativa. La mancanza, anche parziale, della prova dei presidi di sicurezza in tutte le fasi dell’operazione è risolutiva e dirimente rispetto alla valutazione dei profili di colpa del cliente, costituendo un prius logico rispetto alla prova della colpa grave dell’utente, in aderenza al dato normativo e al precedente del Collegio di coordinamento n. 22745/2019. Il ricorso è pertanto accolto, con condanna al rimborso di € 7.000,00 oltre interessi legali dal reclamo e alle spese della procedura.