Autenticazione forte e mancata allegazione della truffa: colpa grave presunta del titolare (ABF Collegio di Napoli n. 1886 del 04.03.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento non si libera dalla responsabilità provando la mera regolarità formale della transazione. Egli deve documentare le modalità esecutive dell’operazione dalle quali possa trarsi, anche in via presuntiva, la prova del dolo o della colpa grave dell’utente. Quando l’intermediario dimostri il rispetto della procedura di autenticazione forte a doppio fattore e il ricorrente si limiti a disconoscere l’operazione senza alcuna ricostruzione fattuale della truffa o della clonazione asserita, la mancata allegazione delle circostanze integra un indizio idoneo a fondare la presunzione di colpa grave del cliente. Ne consegue il rigetto della domanda di rimborso.

Il Fatto

La ricorrente, titolare di una carta di credito, riscontrava tra i movimenti un addebito di € 446,77 relativo a un pagamento online mai autorizzato. Dopo il reclamo, riscontrato negativamente dall’intermediario, proponeva ricorso all’ABF chiedendo il rimborso della somma.

La banca resistente eccepiva che l’operazione era stata eseguita tramite dispositivo personale della cliente e autorizzata a mezzo token, attivato l’ultima volta sul medesimo dispositivo, con autenticazione forte e nessuna anomalia tecnica. La ricorrente replicava di aver usato la carta nella stessa giornata solo per due pagamenti fisici con inserimento della carta e digitazione del PIN, deducendo la verosimile clonazione e la propria buona fede. L’intermediario insisteva sul rigetto, rilevando l’assenza di qualsiasi dettaglio ricostruttivo della truffa.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e nel Regolamento Delegato Ue 2018/389. La responsabilità del prestatore è esclusa quando egli provi di utilizzare meccanismi di autenticazione forte e dimostri la condotta dolosa o gravemente colposa dell’utente. L’autenticazione forte si basa su due o più elementi indipendenti tra conoscenza, possesso e inerenza, idonei a tutelare la riservatezza dei dati di autenticazione.

Il Collegio richiama l’orientamento del Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019: la registrazione dello strumento non basta a dimostrare l’autorizzazione dell’operazione, e grava sul prestatore l’onere di provare frode, dolo o colpa grave, con le modalità esecutive documentate ai sensi dell’art. 10 del d.lgs. n. 11/2010.

Nel caso concreto, le evidenze prodotte dall’intermediario dimostrano il pieno rispetto della procedura: digitazione del numero di carta, scadenza, nome del titolare e CVV; invio della notifica PUSH con i dettagli dell’operazione sul dispositivo ove era attivo il token; autorizzazione mediante smartcode o dato biometrico. Il primo fattore SCA è il possesso del dispositivo, il secondo la conoscenza o l’inerenza. La procedura è dunque provata.

Resta la valutazione sulla colpa grave. La ricorrente si è limitata al disconoscimento, senza alcuna ricostruzione della truffa o della clonazione. Secondo l’orientamento compatto dei Collegi territoriali richiamato (Coll. ABF Torino n. 8755/2025, Coll. ABF Milano n. 8588/2025, Coll. ABF Bari n. 8052/2025, Coll. ABF Bologna n. 7965/2025), la mancata allegazione delle circostanze di fatto, unita alla prova dell’autenticazione forte, fonda la presunzione di colpa grave.

Irrilevante, infine, la questione degli alert: trattandosi di operazione unica, l’eventuale mancato invio non avrebbe limitato il pregiudizio. Il ricorso è pertanto respinto.