Autenticazione forte non provata: la banca rimborsa le operazioni disconosciute (ABF Collegio di Milano n. 3480 del 20.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, è onere del prestatore di servizi di pagamento provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Tale prova è necessaria ma non sufficiente: per esonerarsi da responsabilità l’intermediario deve altresì dimostrare il comportamento fraudolento o gravemente colposo dell’utilizzatore. La prova dell’autenticazione forte del cliente costituisce un prius logico rispetto alla prova della colpa grave: ove difetti, la domanda di rimborso va accolta integralmente senza ulteriore indagine. Il mero impiego di un fattore di possesso, senza individuazione del secondo fattore, non integra la SCA richiesta dalla normativa.

Il Fatto

Il ricorrente subiva il furto dello smartphone a Rio de Janeiro il 18 agosto 2025 e presentava immediata denuncia alla polizia locale. Poco dopo si accorgeva che, tramite digital wallet, ignoti utilizzavano la carta di debito emessa dal primo intermediario e quella del secondo, disponendo anche un bonifico di € 2.000,00 verso l’estero. I tentativi di blocco dall’apparecchio della moglie e di contatto via PEC non sortivano effetto.

Il ricorrente chiedeva la restituzione delle somme, precisando di non custodire i codici di accesso sul telefono. Il secondo intermediario riconosceva di aver già rimborsato € 443,48, comprensivi delle due operazioni contestate e della somma versata per il ricorso. Il primo intermediario eccepiva la colpa grave del cliente per l’incauta custodia del codice di sblocco e delle credenziali, insistendo per il rigetto.

La motivazione del Collegio

Preso atto del rimborso, il Collegio dichiara cessata la materia del contendere nei confronti del secondo intermediario. Quanto al primo, le operazioni contestate sono quattro, eseguite tra le 16.23 e le 18.08 del 18 agosto 2025 per complessivi € 2.494,36. Due di esse, da € 8,10 e € 16,21, non risultano richiamate in fase di reclamo: la mera denuncia alle forze dell’ordine non vale a tal fine, sicché su tali voci la domanda è inammissibile.

Nel merito, il Collegio richiama gli artt. 10 e 12 d.lgs. n. 11/2010, l’art. 10-bis, gli artt. 97 e 98 della PSD2 e il Regolamento delegato (UE) 2018/389, oltre ai criteri interpretativi EBA. Ribadisce il principio della decisione n. 22745/2019 del Collegio di Coordinamento: la prova dell’autenticazione e della regolarità formale non soddisfa da sola l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto che consentano di desumere in via presuntiva la colpa grave dell’utente.

Sull’operazione da € 470,05 eseguita in modalità contactless tramite wallet, i log dimostrano l’impiego del solo elemento di possesso. Non emerge, tuttavia, il secondo fattore utilizzato per l’autorizzazione. L’intermediario non chiarisce se il codice di sblocco dello smartphone fosse stato impostato come elemento autorizzativo del wallet. Il Collegio richiama la EBA Q&A 2021_6145, secondo cui lo sblocco del telefono può valere come elemento di SCA nel pagamento solo se previamente associato alle credenziali tramite SCA. Manca dunque la piena prova di SCA.

Analogo esito per il bonifico di € 2.000,00. L’intermediario invoca la qualificazione del dispositivo come trusted device ai sensi dell’art. 10 degli RTS SCA e l’avvenuta pre-autorizzazione del 2024. I log, però, mostrano due fattori di possesso — device binding e SMS OTP — e un’inserimento dell’OTP delle ore 23.07 (18.07 locali), orario non congruente con l’operazione. Il Collegio ravvisa una significativa incongruenza oraria anche sul riutilizzo del fattore di conoscenza impiegato in fase di login.

Il difetto di piena prova sull’autenticazione impone l’accoglimento integrale della domanda, senza necessità di indagare la colpa grave. Il primo intermediario è tenuto a corrispondere € 470,05 e € 2.000,00, per complessivi € 2.470,05, arrotondati a € 2.470,00, oltre al rimborso di € 20,00 e al contributo di € 200,00 in favore della Banca d’Italia.