Clonazione carta debito: autenticazione forte richiede riferibilità del device al cliente (ABF Collegio di Milano n. 4542 del 20.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento effettuate con carta di debito, l’onere di provare che l’operazione sia stata correttamente autenticata, registrata e contabilizzata grava sull’intermediario, ai sensi dell’art. 10 del D.lgs. n. 11/2010. La prova della Strong Customer Authentication non si esaurisce nella dimostrazione dell’impiego dei fattori di autenticazione, ma richiede anche la verifica che il dispositivo mobile destinatario della notifica push sia effettivamente nella disponibilità e sotto il controllo del legittimo titolare. In mancanza di tale prova, l’elemento del possesso non risulta dimostrato e la corretta autenticazione forte non può dirsi raggiunta, con conseguente responsabilità dell’intermediario per le operazioni fraudolente. Accertata la violazione, l’istituto è tenuto a riportare il conto nello stato in cui si sarebbe trovato se l’operazione non avesse avuto luogo, ai sensi dell’art. 11 del D.lgs. n. 11/2010.

Il Fatto

La ricorrente, titolare di un conto corrente con annessa carta di debito, riferisce che tra il 30 aprile e il 2 maggio 2025 la carta veniva utilizzata per sei ricariche su una piattaforma di scommesse online, per un importo complessivo di € 800,00. La cliente afferma di essersi accorta dell’ammanco il 1° maggio 2025 accedendo all’applicazione della banca e di aver bloccato la carta il giorno successivo con l’aiuto di un familiare. Il 6 maggio 2025 presentava denuncia e reclamo, ricevendo risposta negativa.

La ricorrente sostiene di non aver mai ricevuto notifiche push né richieste di autorizzazione in tempo reale, lamentando la violazione dell’obbligo di autenticazione forte. Evidenzia la propria condizione di persona anziana e scarsamente alfabetizzata digitalmente, che non controlla i messaggi ricevuti. L’intermediario replica che le operazioni sarebbero state autenticate tramite notifica push e autorizzate con inserimento del PIN, negando ogni responsabilità.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento, individuando nel D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della direttiva PSD2, la disciplina applicabile. Richiama la regola sull’onere probatorio: spetta all’intermediario dimostrare l’avvenuta autenticazione e l’assenza di malfunzionamenti, mentre solo in un secondo momento grava sull’utente la prova del dolo o colpa grave (richiamata la decisione del Collegio di Coordinamento n. 22745/2019).

Quanto alla SCA, il Collegio individua le fonti negli artt. 97 e 98 della PSD2, nell’art. 10-bis del D.lgs. n. 11/2010 e nel Regolamento Delegato UE 2018/389. L’autenticazione forte si realizza con almeno due dei tre fattori — conoscenza, inerenza e possesso — reciprocamente indipendenti e appartenenti a categorie diverse.

Nel caso concreto, dai log prodotti dall’intermediario risulta che per ciascuna operazione è stata inviata una notifica push, quale elemento di possesso, e che la conferma è avvenuta tramite inserimento dell’MPIN, quale elemento di conoscenza. L’istituto ha però omesso di fornire la documentazione idonea a dimostrare che la notifica sia stata inviata a un dispositivo nella disponibilità della ricorrente e che l’MPIN provenga dalla stessa.

Il Collegio richiama la giurisprudenza consolidata dell’Arbitro, secondo cui la prova della SCA richiede non solo l’utilizzo dei fattori di autenticazione, ma anche la verifica della riferibilità del device al legittimo titolare. In mancanza, l’elemento del possesso non è dimostrato e la prova della corretta autenticazione non può dirsi raggiunta, con accoglimento integrale del ricorso. Viene richiamata la decisione del Collegio di Milano n. 1067/2026, che definisce l’autenticazione forte quale uso di due o più elementi indipendenti, richiesti sia nella fase di accesso sia in quella di esecuzione delle singole operazioni.

Quanto alla domanda accessoria di corresponsione degli interessi legali, il Collegio dispone in base all’art. 11 del D.lgs. n. 11/2010, che impone di riportare il conto nello stato in cui si sarebbe trovato se l’operazione non avesse avuto luogo, assicurando che la data valuta dell’accredito non sia successiva a quella dell’addebito. Il Collegio accoglie il ricorso e ordina all’intermediario di corrispondere € 800,00 con buona valuta, oltre al rimborso di € 20,00 delle spese di procedura e al versamento di € 200,00 alla Banca d’Italia.