Frode informatica e decadenza: prova della forte autenticazione precede la colpa grave (ABF Collegio di Milano n. 1192 del 10.02.2026)

Principi di diritto (Massima)
Nel giudizio sull’operazione di pagamento non autorizzata, il termine di decadenza di tredici mesi previsto dall’art. 9 d.lgs. n. 11/2010 non è rilevabile d’ufficio, ma deve formare oggetto di espressa eccezione di parte; l’eccezione sollevata per la prima volta in sede di controreplica, senza possibilità di contraddittorio, non è validamente proposta. Il prestatore di servizi di pagamento che non provi la forte autenticazione — perché dai log informatici non si ricava l’inserimento di uno dei fattori di conoscenza, possesso o inerenza — risponde dell’operazione: il difetto, anche parziale, della prova di autenticazione è risolutivo e prius logico rispetto alla valutazione di eventuali profili di colpa grave dell’utilizzatore.

Il Fatto

La ricorrente, titolare di un conto corrente presso il primo intermediario e di una carta prepagata emessa dal secondo, subiva una truffa telefonica. Un sedicente operatore di sicurezza la induceva a comunicare dati riservati e a disinstallare l’app della banca. Poco dopo riceveva un avviso di accesso da dispositivo non riconosciuto e chiedeva il blocco del conto e della carta, dopo aver sporto denuncia.

Disconosceva così un giroconto dal “Salvadanaio”, due bonifici di ricarica della propria carta e quattro bonifici in uscita verso terzi, chiedendo il rimborso di € 24.650,00. Entrambi gli intermediari eccepivano la tardività del reclamo e la colpa grave della cliente. Il secondo invocava il corretto inserimento delle credenziali e dell’OTP.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di decadenza del primo intermediario. Richiamata la decisione del Collegio di Coordinamento n. 11676 del 2021, si afferma che il termine di tredici mesi ha natura decadenziale e non è rilevabile d’ufficio. Le operazioni erano state contabilizzate nell’estratto conto al 30.06.2023, mentre la prima contestazione formale risale al 21.03.2025: il termine era già scaduto. Il ricorso è pertanto inammissibile nei confronti del primo intermediario.

In aggiunta, il Collegio osserva che il giroconto e i due bonifici verso la carta della stessa cliente non hanno comportato alcun depauperamento: la perdita economica si è avuta solo con i bonifici in uscita dalla prepagata. L’esame resta quindi circoscritto al secondo intermediario.

Quanto a quest’ultimo, l’eccezione di tardività è tardiva e generica: sollevata solo in controreplica, senza ulteriore contraddittorio, non è validamente proposta né rilevabile d’ufficio. Si passa al merito. Le operazioni disconosciute ammontano complessivamente a € 24.685,51; la cliente chiede tuttavia il minor importo di € 24.650,00.

Il Collegio richiama il regime dell’art. 10 d.lgs. n. 11/2010, la PSD2 (artt. 97 e 98), l’art. 10-bis e il Regolamento Delegato Ue 2018/389 sull’autenticazione forte a due fattori indipendenti. Il prestatore deve anzitutto provare l’autenticazione, la registrazione e la contabilizzazione; solo dopo può dimostrare il comportamento fraudolento o gravemente colposo dell’utilizzatore.

Nel caso concreto l’intermediario non fornisce prova della SCA: dai log non si ricava l’inserimento della password, indicata solo nella colonna “NOTE”. Il Collegio richiama la propria recente decisione n. 11430/25 e la giurisprudenza consolidata dell’Arbitro: la carenza di uno dei fattori non può essere colmata dalle informazioni dei log. In mancanza di prova dell’autenticazione il ricorso è accolto integralmente, restando assorbita ogni valutazione sulla colpa grave.