Frode carta debito senza prova del device manca autenticazione forte (ABF Collegio di Milano n. 1067 del 06.02.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di carta di debito, il prestatore di servizi di pagamento che invochi l’esonero da responsabilità ai sensi dell’art. 10, comma 2, d.lgs. n. 11/2010 deve provare non solo l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, ma anche che l’uso indebito sia riconducibile a colpa grave dell’utilizzatore. L’autenticazione deve essere forte, cioè basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza. La sola produzione dei log che attestano l’inserimento del codice mPin non basta se non è dimostrata la riferibilità alla cliente del device sul quale è stata inviata la notifica push: difetta l’elemento del possesso e la prova dell’autenticazione non è raggiunta.

Il Fatto

La ricorrente riferisce di essere stata vittima di una truffa consumatasi su un falso sito di annunci. Espone di avere ricevuto il 21/04/2025 due richieste di OTP via SMS, cui non dava seguito, e di avere bloccato la propria carta. Chiede la restituzione di 499,00 euro.

L’intermediario controdeduce che l’operazione disconosciuta è un acquisto e-commerce disposto con carta di debito, correttamente autenticato e contabilizzato, e che i codici OTP ricevuti nei messaggi genuini non sono stati utilizzati. Eccepisce l’inammissibilità del ricorso per genericità e, nel merito, la colpa grave della cliente per non avere verificato la genuinità dell’interlocutore. La cliente replica di non avere mai inserito alcun codice per autorizzare l’operazione.

La motivazione del Collegio

Il Collegio disattende in via preliminare l’eccezione di genericità, rilevando che il ricorso individua chiaramente sia il petitum sia la causa petendi. Passa quindi al merito, richiamando il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2.

Il punto di partenza è l’art. 10, comma 1, d.lgs. n. 11/2010: quando l’utilizzatore nega di avere autorizzato l’operazione, è onere del prestatore provare che essa è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Tale prova è necessaria ma non sufficiente: ai fini dell’esonero occorre anche dimostrare il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Il Collegio richiama la decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la documentazione sull’autenticazione e sulla regolarità formale non soddisfa di per sé l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto delle modalità esecutive dai quali trarre la prova presuntiva della colpa grave. Richiama inoltre gli artt. 97 e 98 PSD2, l’art. 10-bis d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019.

Centrale è l’art. 12 d.lgs. n. 11/2010: salvo frode del pagatore, questi non sopporta perdite se il prestatore non esige l’autenticazione forte del cliente. Definita dall’art. 1, lett. q-bis come autenticazione basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza, essa è richiesta nell’accesso, nell’esecuzione delle singole operazioni e per ogni azione a distanza che comporti rischio di frode.

Nel caso concreto difetta la prova di autenticazione a doppio fattore. L’intermediario afferma che l’operazione è stata autorizzata tramite notifica push sull’app e inserimento del codice mPin creato dalla cliente, e allega i log dell’operazione delle ore 14:01. Tuttavia dalla documentazione non è dato verificare la riferibilità alla cliente del device cui è stata inviata la notifica e dal quale l’operazione è stata disposta. Manca così l’elemento del possesso e la piena prova dell’autenticazione non è raggiunta: il ricorso va accolto integralmente, con restituzione di 499,00 euro, contributo di 200,00 euro alla Banca d’Italia e rimborso di 20,00 euro alla ricorrente.