Autenticazione forte provata e mancata allegazione della frode: colpa grave dell’utente (ABF Collegio di Palermo n. 2562 del 19.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento a distanza, il prestatore di servizi di pagamento che fornisca la prova della corretta autenticazione forte dell’operazione, della sua registrazione e contabilizzazione, senza malfunzionamenti o anomalie tecniche, soddisfa l’onere probatorio posto a suo carico dall’art. 10 del d.lgs. n. 11/2010. Ove manchino indici di anomalia dell’operatività, la mancata allegazione di circostanze specifiche sulla dinamica della frode può concorrere alla formazione del convincimento circa la colpa grave dell’utilizzatore. L’operazione autenticata è così riferibile al titolare, ovvero al frodatore per effetto della cooperazione gravemente colposa del primo.

Il Fatto

Il ricorrente chiede la restituzione di euro 989,00, corrispondenti a un bonifico istantaneo di euro 988,00 oltre commissioni, eseguito il 21/05/2025 tramite App in favore di un beneficiario sconosciuto. Sostiene di non avere mai autorizzato l’operazione, di avere custodito con diligenza le credenziali e di non avere comunicato a terzi codici o password. Riferisce di avere appreso l’addebito il 26/05/2025, disponendo il blocco dello strumento, e di avere ricevuto notifiche relative a ulteriori tentativi di bonifico non andati a buon fine.

Deduce il difetto di prova della SCA e l’insussistenza di una propria colpa grave. L’intermediario eccepisce di avere correttamente applicato le procedure di autenticazione forte, producendo i log dell’enrollment e dell’operazione, e sostiene la sussistenza della colpa grave del cliente per mancata allegazione di una dinamica alternativa plausibile della frode.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nelle fonti che regolano la strong customer authentication — gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d.lgs. n. 11/2010, le norme tecniche EBA recepite con il Regolamento Delegato UE 2018/389 — il parametro di valutazione della condotta dell’intermediario. La SCA richiede almeno due dei tre fattori di conoscenza, possesso e inerenza, reciprocamente indipendenti e appartenenti a categorie diverse.

Dall’esame dei log emerge che l’accesso all’App è avvenuto tramite dispositivo registrato, con inserimento del codice personale e conferma biometrica, e che il bonifico è stato predisposto e autorizzato nella medesima sessione. Il dispositivo utilizzato reca il medesimo identificativo di quello su cui era stato eseguito l’enrollment. I fattori impiegati sono quindi il possesso del device, la conoscenza del codice segreto e, in fase di accesso, l’inerenza biometrica. Da qui la conclusione che l’intermediario ha assolto l’onere di provare la corretta autenticazione, senza malfunzionamenti o anomalie tecniche.

Il Collegio esclude poi la sussistenza di indici di anomalia: non risultano pluralità di operazioni ravvicinate andate a buon fine, operatività reiterata verso il medesimo beneficiario, superamento del plafond né scostamenti idonei ad attivare presidi ulteriori. La circostanza dell’operazione unica, pur di importo significativo rispetto all’operatività abituale, non è ritenuta sufficiente a fondare una responsabilità dell’intermediario per omessa sospensione cautelativa.

Sul versante della colpa, il Collegio rileva che il ricorrente si limita a negare l’autorizzazione e ad affermare di non avere comunicato le credenziali, senza offrire elementi idonei a ricostruire una dinamica alternativa della frode: nessun messaggio sospetto, nessun disconoscimento immediato, nessuna anomalia di sistema. Poiché l’operazione è stata autorizzata tramite dispositivo registrato con codice personale, erano attivi sistemi di alert e il blocco è intervenuto solo dopo alcuni giorni, l’ipotesi residuale resta quella di un utilizzo riconducibile al titolare, direttamente o per cooperazione gravemente colposa.

Il Collegio ritiene pertanto integrata la colpa grave del ricorrente e non meritevole di accoglimento la domanda, rigettando il ricorso.