Prova della Strong Customer Authentication e colpa grave del cliente (ABF Collegio di Milano n. 4688 del 26.05.2026)

Principi di diritto (Massima)
Nelle controversie su utilizzi fraudolenti di strumenti di pagamento a distanza, la prova dell’autenticazione forte (SCA) delle operazioni disconosciute grava sul prestatore dei servizi di pagamento, con riferimento a ciascuna operazione e a ogni fase in cui si articola. Solo se l’operazione risulta compiuta direttamente e per intero dal cliente l’intermediario è esonerato da tale prova. La Strong Customer Authentication si realizza mediante almeno due fattori tra conoscenza, possesso e inerenza, reciprocamente indipendenti. Il difetto di prova sull’autenticazione è dirimente e impone l’accoglimento della domanda, a prescindere dalla valutazione della colpa del cliente. Verificata la SCA, resta la valutazione della condotta: le mancate allegazioni e le contraddizioni del ricorrente sulle circostanze della frode costituiscono elementi da cui il Collegio trae il convincimento sulla colpa grave del cliente.

Il Fatto

Il ricorrente riferisce di aver ricevuto, il 21 ottobre 2025, un SMS con cui l’intermediario lo avvisava della sospensione della carta per tre transazioni considerate anomale, effettuate in favore di un operatore di trasferimento internazionale di denaro. Contattato il servizio clienti, scopriva un’ulteriore operazione del giorno precedente, sempre a favore del medesimo beneficiario. Provvedeva quindi al blocco della carta e chiedeva il rimborso, che l’intermediario inizialmente riconosceva, unitamente alla sostituzione della carta.

Il rimborso veniva poi revocato perché il cliente non avrebbe prodotto in tempo la documentazione richiesta per mail, finita nella cartella spam. Seguiva reclamo, riscontrato negativamente dall’intermediario, che attribuiva le operazioni a un raggiro subito dal cliente e alla conseguente comunicazione delle credenziali e dei codici OTP al truffatore. Il ricorrente chiede il “rimborso delle cifre frodate”, quantificato dal Collegio in € 1.416,99.

La motivazione del Collegio

Il Collegio ricorda che, alla data delle operazioni, trova applicazione il D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. n. 218/17 di attuazione della direttiva 2015/2366/EU (PSD II), integrato dalle norme tecniche recepite con il Regolamento Delegato UE 2018/389. La prova dell’autenticazione, a carico dell’intermediario, è un prius logico rispetto a ogni ulteriore accertamento, compreso quello sulla colpa grave.

Dai log prodotti emerge come, poche ore prima della prima operazione, sia stato effettuato l’enrollment di un dispositivo, con accesso all’area riservata mediante username, password e Codice OTP via SMS, e successiva abilitazione del riconoscimento biometrico. Gli SMS OTP risultano inviati al numero indicato dal cliente in sede di denuncia. Le due operazioni e-commerce sono state autenticate mediante notifiche push e dato biometrico. Il Collegio ritiene pertanto dimostrata la SCA, potendo valorizzare, oltre ai log, anche le evidenze esplicative fornite dal prestatore, secondo l’orientamento espresso, tra le altre, dalla decisione n. 6153/25 del 24/06/2025.

Verificata l’autenticazione, il Collegio esamina la condotta delle parti. Il cliente non riferisce alcun raggiro, assume di non aver mai comunicato credenziali o codici e di non conoscere il titolare del dispositivo su cui è stato eseguito l’enrollment. Tali allegazioni sono però smentite dalla documentazione di controparte, che rende plausibile la versione secondo cui il cliente, il giorno prima, a seguito di un raggiro taciuto, abbia comunicato i dati necessari all’enrollment su un nuovo dispositivo e all’autorizzazione delle operazioni.

Il Collegio richiama l’orientamento consolidato secondo cui, quando l’intermediario ha offerto prova dell’autenticazione, il sistema è conforme alla SCA e non emergono indici di anomalia, le lacune del cliente sulle circostanze della frode fondano il convincimento sulla colpa grave. Quanto al rimborso revocato, il riconoscimento iniziale era “salvo buon fine”; il blocco della carta è stato disposto tempestivamente, meno di un’ora e mezza dopo la seconda operazione. Il ricorso è pertanto rigettato.