Autenticazione forte non provata e frode su carta di credito: rimborso all’utilizzatore (ABF Collegio di Bari n. 222 del 13.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute dall’utilizzatore, il prestatore di servizi di pagamento che invoca la regolarità dell’operazione deve provare non solo l’avvenuta autenticazione forte, ma anche che essa sia stata eseguita sul dispositivo in disponibilità del titolare. La mancata dimostrazione di tale circostanza integra violazione dell’art. 10, comma 2, d.lgs. n. 11/2010 e determina la responsabilità dell’intermediario, restando esclusa ogni ulteriore indagine sull’eventuale colpa grave dell’utilizzatore. Il rischio di utilizzazione fraudolenta dello strumento di pagamento resta allocato sul fornitore del servizio, secondo il regime di speciale favor probatorio previsto dalla disciplina di recepimento della PSD 2.

Il Fatto

Il ricorrente mette in vendita alcuni beni su un sito di e-commerce. Viene contattato da un sedicente acquirente che lo invita a un contatto diretto via email. Convinto di dover agevolare l’accredito di € 35,00, pari al prezzo pattuito, l’utente segue le istruzioni ricevute e inserisce i dati richiesti.

In esito a tale operazione vengono disposti due pagamenti di € 490,00 cadauno sulla sua carta di credito, in favore di un medesimo beneficiario con sede a Cipro. L’intermediario rimborsa spontaneamente una delle due somme. Il ricorrente chiede quindi il rimborso residuo di € 490,00. L’intermediario eccepisce la regolarità delle operazioni, eseguite con autenticazione forte mediante PIN e OTP, e lamenta la colpa grave del cliente che avrebbe fornito le credenziali al truffatore.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366, e dal Regolamento Delegato (UE) n. 2018/389 in materia di autenticazione forte del cliente. Richiama l’art. 10 del decreto, che pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha subito conseguenze di malfunzionamenti.

Viene valorizzato il comma 2 della stessa disposizione: l’uso di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’utilizzatore, né il suo dolo o la sua colpa grave. Il Collegio richiama anche l’art. 12, comma 2-bis, secondo cui il pagatore non sopporta perdite quando il prestatore non esige l’autenticazione forte, e l’art. 10-bis, che ne impone l’applicazione nelle operazioni elettroniche a distanza.

Sul piano interpretativo il Collegio si allinea all’orientamento del Collegio di Coordinamento n. 3947 del 24.6.2014 e alla successiva decisione n. 22745/2019, che escludono l’autosufficienza della regolarità formale dell’operazione. Richiama inoltre la giurisprudenza di legittimità (Cass. n. 2950 del 2017, Cass. n. 9158 del 2018, Cass. n. 26916 del 2020), che colloca nell’area del rischio professionale del prestatore la possibilità di un uso dei codici di accesso da parte di terzi non attribuibile a dolo del titolare.

Applicando tali principi, il Collegio rileva che l’intermediario non ha provato che il dispositivo sul quale sono state autorizzate le operazioni fosse quello del ricorrente, anziché altro dispositivo in uso al truffatore e preventivamente associato alla carta e al conto. È lo stesso intermediario ad alimentare il dubbio, ipotizzando nei propri scritti che i codici possano essere stati carpiti nell’ambito di uno schema di phishing tradizionale.

La mancata dimostrazione di una autenticazione forte valida ed efficace fonda la responsabilità dell’intermediario, con esonero da ogni ulteriore indagine sulla colpa grave del ricorrente. Detratto il rimborso già ottenuto, il Collegio accoglie il ricorso e dispone il pagamento di € 490,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 delle spese di presentazione.