Autenticazione forte precede colpa grave dell’utente nella frode informatica (ABF Collegio di Milano n. 3253 del 13.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dall’utilizzatore, il prestatore dei servizi di pagamento deve provare, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, non solo l’avvenuta autenticazione forte delle singole disposizioni, ma anche la regolarità delle fasi prodromiche, compresa l’attivazione di un nuovo dispositivo di mobile token. La prova dell’autenticazione costituisce un prius logico rispetto all’accertamento della colpa grave dell’utente: se manca la prima, il ricorso va accolto integralmente, senza che rilevi l’eventuale condotta negligente del cliente nella custodia delle credenziali.

Il Fatto

Il ricorrente, titolare di un conto corrente presso l’intermediario, riceve il 5 marzo 2025 una telefonata da un sedicente addetto che gli segnala un errato accredito di € 35,00. Poco dopo, tramite SMS e chat con la banca, apprende della disposizione di un bonifico istantaneo di € 14.750,00 che non ha autorizzato. Il 16 marzo sporta denuncia; nella notte successiva gli viene comunicata la predisposizione di un ulteriore bonifico, e un terzo addebito viene comunque eseguito. Chiede la restituzione di € 15.235,00.

L’intermediario si difende sostenendo che le operazioni si sono svolte con autenticazione forte e che la frode si è realizzata solo grazie all’incauta collaborazione del cliente, il quale una settimana prima aveva attivato un nuovo mobile token su un dispositivo diverso. Contesta inoltre la tardività del disconoscimento. Il cliente replica di non aver mai autorizzato l’attivazione né comunicato i propri codici a terzi.

La motivazione del Collegio

Il Collegio inquadra la vicenda nell’ambito del d.lgs. n. 11/2010 e della direttiva PSD 2, richiamando l’art. 10, comma 1, che pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Tale prova è necessaria ma non sufficiente, perché per esonerarsi da responsabilità ai sensi dell’art. 10, comma 2 il prestatore deve anche dimostrare che l’uso indebito deriva da comportamento fraudolento o gravemente colposo dell’utente rispetto agli obblighi dell’art. 7.

Richiamando la decisione del Collegio di Coordinamento n. 22745/2019, il Collegio ribadisce che la produzione documentale attestante l’autenticazione formale non soddisfa da sola l’onere probatorio, occorrendo elementi di fatto specifici sulle modalità esecutive dell’operazione. Vengono poi citati gli artt. 97 e 98 PSD 2, l’art. 10-bis d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019, oltre all’art. 12 d.lgs. n. 11/2010 e alla definizione di autenticazione forte di cui all’art. 1, lett. q-bis.

Nel caso concreto, l’intermediario non ha dato prova dell’autenticazione a doppio fattore. Quanto all’attivazione del nuovo mobile token, i log prodotti valorizzano la colonna dell’OTP, ma non le voci “pin inviato” e “pin verificato”: manca dunque l’evidenza dell’effettivo inserimento del fattore di conoscenza. Anche il documento sulle notifiche inviate al cliente risulta illeggibile proprio nella parte relativa all’attivazione del token su nuovo dispositivo.

Il Collegio conclude che le parziali evidenze non consentono di reputare provata l’autenticazione delle fasi prodromiche alle transazioni disconosciute. In difetto di tale prova, in aderenza al dato normativo e richiamando la decisione del Collegio di Napoli n. 7917/25, il ricorso va accolto integralmente, restando assorbita ogni valutazione sulla colpa grave dell’utente. L’intermediario è condannato a corrispondere € 15.235,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00.