Colpa grave dell’utente e autenticazione forte nelle frodi da pagamento online (ABF Collegio di Bari n. 4127 del 07.05.2026)

Principi di diritto (Massima)
La produzione documentale che comprova l’autenticazione forte e la regolarità formale dell’operazione contestata non soddisfa, di per sé, l’onere probatorio posto a carico del prestatore di servizi di pagamento dall’art. 10, comma 2, d.lgs. n. 11/2010, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto dai quali trarre, in via presuntiva, la prova della colpa grave dell’utilizzatore. Costituisce indice di colpa grave la prova che al cliente sia pervenuta una comunicazione ulteriore rispetto alla procedura di autenticazione, idonea a sollecitare la sua attenzione sull’operazione che sta per autorizzare e non contraddetta da segnali di segno contrario. Gli indici di frode dell’art. 8 d.m. n. 112/2007 non hanno valore precettivo diretto, ma operano come parametro di valutazione della negligenza tecnica del prestatore, da apprezzare secondo le circostanze concrete.

Il Fatto

La ricorrente riferisce di aver ricevuto un SMS che segnalava un presunto pagamento e la invitava a contattare un numero per il disconoscimento. Dopo aver verificato l’app senza anomalie, riceveva notifiche di accessi non autorizzati, di cambio del dispositivo associato e di modifica del numero collegato al conto. Nel medesimo frangente venivano disposte due operazioni fraudolente, di € 5,00 e € 239,00, sulla carta attivata presso l’intermediario.

La ricorrente invoca il riparto dell’onere probatorio del d.lgs. n. 11/2010 e chiede il rimborso complessivo di € 244,00. L’intermediario resiste sostenendo che le operazioni sono state eseguite con SCA, allega le evidenze delle OTP inviate all’utenza certificata e deduce la colpa grave della cliente, desunta anche dalla trascrizione della telefonata con il servizio clienti.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo, applicando il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Rileva che nel modulo di disconoscimento la ricorrente aveva negato di essere stata contattata da terzi e di aver fornito credenziali o codici autorizzativi, mentre in ricorso descrive una dinamica diversa. Oggetto del giudizio sono due pagamenti online del 26/11/2025; una terza operazione del giorno successivo è stata già rimborsata.

Sul piano dell’autenticazione, l’intermediario documenta che al rilevamento di un dispositivo diverso da quello abituale il sistema ha richiesto un ulteriore step tramite OTP SMS, inviata all’utenza coincidente con quella indicata dalla ricorrente in denuncia e nel ricorso. Le operazioni sono state poi autorizzate mediante tap sulla notifica push sul device registrato e validazione con password, secondo i log prodotti. Il Collegio ritiene così raggiunta la prova della conformità delle operazioni ai requisiti della SCA, richiamando numerose decisioni conformi di altri Collegi.

Il passaggio centrale riguarda il riparto dell’onere probatorio. Richiamando il Collegio di Coordinamento n. 22745/2019, il Collegio ribadisce che la prova dell’autenticazione non esaurisce l’onere del prestatore, che deve indicare gli elementi di fatto idonei a fondare presuntivamente la colpa grave. Nella specie tale prova è offerta dalle OTP parlanti, che sollecitavano l’attenzione della cliente sull’operazione in corso, e dalla trascrizione della telefonata con il servizio clienti, nella quale la ricorrente ha risposto affermativamente alla domanda dell’operatore sull’avvenuta richiesta dei codici di accesso. L’SMS prodotto, isolato e privo di riscontri, e il numero indicato per il disconoscimento, non riconducibile alla resistente, non superano questa ricostruzione.

Quanto ai sistemi di allerta, il Collegio osserva che le due operazioni sono state eseguite a un minuto di distanza, alle ore 18:44 e 18:45, e che un alert ex post sarebbe stato comunque irrilevante in presenza di SMS parlanti. Infine, sul versante degli indici di frode dell’art. 8 d.m. n. 112/2007, il Collegio esclude che nella specie siano insorti obblighi di presidio ulteriori: la strettissima connessione temporale tra le due operazioni e la coerenza di una di esse, una ricarica online di € 5,00 verso un’azienda di telecomunicazioni italiana, con un’operatività normale inducono a ritenere insussistenti gli indici che avrebbero dovuto attivare l’intermediario. Il ricorso è pertanto non accolto.