Banca deve provare autenticazione forte anche nella tokenizzazione per frode informatica (ABF Collegio di Bologna n. 489 del 21.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, spetta al prestatore di servizi di pagamento provare l’avvenuta autenticazione forte del cliente, la corretta registrazione e contabilizzazione e l’assenza di malfunzionamenti, ai sensi dell’art. 10 del d.lgs. n. 11/2010. Tale prova costituisce un prius logico rispetto alla prova della frode, del dolo o della colpa grave dell’utilizzatore, che resta comunque a carico dell’intermediario. Quando le operazioni siano state disposte previa virtualizzazione della carta, la SCA deve essere dimostrata anche rispetto a tale fase preliminare: in difetto, il ricorso è accolto ai sensi dell’art. 12, comma 2-bis, d.lgs. n. 11/2010. La produzione dei log, corredata da legenda esplicativa e dalle difese del PSP, è idonea a integrare la prova solo se consente di verificare i singoli passaggi dell’autenticazione.

Il Fatto

La ricorrente, visionando l’estratto conto il 3 marzo 2025, rileva tre pagamenti POS non riconosciuti, di importo pari a euro 990,00, euro 990,00 e euro 490,00, eseguiti nell’arco di due minuti con la propria carta di debito, oltre a un bonifico di euro 2.490,00. Nega di aver eseguito le operazioni e di aver smarrito o subito il furto della carta, ancora in suo possesso. Riferisce che il 1° marzo 2025 la banca le aveva comunicato la sostituzione del bancomat con una nuova carta recante massimali più elevati.

Esperito il reclamo, ottiene il rimborso del solo bonifico e chiede all’Arbitro la restituzione dei residui euro 2.470,00. L’intermediario resiste sostenendo che le operazioni erano state autorizzate mediante lettura del chip e digitazione del PIN, con invio di alert dopo ciascun pagamento, e addebita alla cliente una condotta gravemente negligente, avendo i malfattori reperito anche le credenziali di home banking.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile alle operazioni poste in essere sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Richiama la regola dell’art. 10, secondo cui l’onere di provare autenticazione, corretta registrazione e assenza di inconvenienti grava sull’intermediario, e quella dell’art. 11, che impone il riaccredito in caso di inadempimento probatorio.

Sul piano della colpa, il Collegio richiama l’orientamento dei Collegi territoriali e del Collegio di coordinamento: la prova può essere data mediante indizi chiari, precisi e concordanti (decisione ABF, Collegio di coordinamento, n. 897/2014), non essendo sufficiente la sola documentazione dell’autenticazione formale (decisione ABF, Collegio di coordinamento, n. 22745/2019).

Passando al caso concreto, il Collegio rileva che l’intermediario ha dapprima affermato la virtualizzazione della carta e poi, in sede di integrazione istruttoria, ha cambiato versione, sostenendo che la cliente sarebbe stata vittima di un relay attack e che pertanto la SCA andrebbe provata solo rispetto alle tre operazioni dispositive. La riconducibilità al relay attack è però dedotta unicamente dalle dichiarazioni della ricorrente, la quale non ha mai riferito di aver rivelato credenziali o dati della carta a terzi. La versione iniziale appare perciò più verosimile.

Poiché non è fornita adeguata prova della SCA in relazione alla fase di virtualizzazione della carta, il ricorso va accolto ai sensi dell’art. 12, comma 2-bis, d.lgs. n. 11/2010. In via di ulteriore argomentazione, il Collegio osserva che l’esito sarebbe identico anche qualificando la vicenda come relay attack: in fenomeni analoghi il Collegio di coordinamento, con decisione n. 3498/2012, ha escluso la colpa grave dell’utilizzatore, vittima di un malware capace di sorprendere anche il fruitore attento.

Il Collegio segnala infine la presenza dell’indicatore di anomalia di cui all’art. 8, lett. a), del DM 112/2007, consistente in tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso il medesimo esercente. L’intermediario è pertanto dichiarato tenuto alla restituzione di euro 2.470,00, oltre al contributo di euro 200,00 alla Banca d’Italia e al rimborso di euro 20,00 alla ricorrente.