Frodi su carta tokenizzata e obbligo di autenticazione forte a carico del prestatore di servizi di pagamento (ABF Collegio di Milano n. 3705 del 24.04.2026)

Principi di diritto (Massima)
Nelle controversie relative a operazioni di pagamento non autorizzate, grava sul prestatore di servizi di pagamento l’onere di provare che ciascuna operazione sia stata autenticata mediante autenticazione forte del cliente. La mancata dimostrazione dell’impiego del fattore di conoscenza, in aggiunta a quello di possesso, comporta la caduta dell’addebito sul prestatore. La condotta gravemente colposa del cliente non lo esonera automaticamente, ma opera sul piano della ripartizione dell’onere probatorio secondo la disciplina della PSD2. Il prestatore è inoltre tenuto a un obbligo di protezione del cliente, che gli impone di interdire l’operatività anomala desumibile dagli indici di rischio frode del D.M. 112/2007, con conseguente responsabilità risarcitoria in caso di inadempimento.

Il Fatto

Il ricorrente subiva il furto del cellulare, sul quale era installata un’app di pagamento contenente la carta dell’intermediario; il dispositivo era protetto da codice di sblocco e da riconoscimento biometrico. Nei giorni successivi venivano eseguite numerose operazioni fraudolente, con prelievi e pagamenti, anche mediante l’attivazione di una seconda carta e l’apertura di due conti correnti. Il cliente sporte denuncia, integrata in un secondo momento, e presentava il modulo di disconoscimento degli importi.

L’intermediario negava il rimborso, ritenendo le operazioni correttamente autorizzate attraverso i fattori biometrici e il codice di sblocco. Il cliente proponeva reclamo, senza esito, e adiva quindi l’Arbitro chiedendo il rimborso di € 11.237,41, oltre interessi e spese.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile ratione temporis, individuandolo nel D.lgs. n. 11/2010 come modificato dal D.lgs. n. 218/2017 di attuazione della direttiva PSD2. Oggetto della controversia sono ventinove operazioni, per complessivi € 11.237,41 comprensivi delle commissioni.

L’analisi si fonda sui log informatici prodotti dall’intermediario. Per la prima carta, le operazioni risultano contactless con lettura del chip e carta tokenizzata su wallet. Due pagamenti di modesto importo ricadono nell’esenzione dall’autenticazione forte prevista dall’art. 11 del Regolamento delegato. Diversamente, il pagamento di € 1.320,00 difetta di evidenza del fattore di conoscenza: il costo deve quindi gravare sul prestatore.

Quanto alla seconda carta, attivata dai malviventi con contratto sottoscritto digitalmente, il Collegio rileva che il pagamento di € 1.989,00 e quello di € 511,01 non recano prova dell’inserimento del PIN. Per le quattro operazioni di prelievo manca la prova dell’autenticazione forte nelle fasi prodromiche, non essendo desumibili dai log i fattori di autenticazione precedenti l’enrollment della carta. Tutte le operazioni su questa carta gravano pertanto sull’intermediario.

Risulta invece conforme alla SCA il prelievo smart di € 1.000,00, autenticato con i fattori del possesso e della conoscenza. Il Collegio riconosce una condotta gravemente colposa del ricorrente, che non avrebbe tempestivamente bloccato la carta, ma esclude che essa possa superare la parziale mancata prova dell’autenticazione forte incombente sull’intermediario.

Da ultimo, il Collegio ravvisa gli indici di anomalia del D.M. 112/2007: sette o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore e tre o più presso un medesimo punto vendita, con nove prelievi in un’unica tabaccheria. Da ciò deriva un obbligo di protezione in capo al prestatore, inadempiuto, con responsabilità risarcitoria per le operazioni a partire dalla terza. Il ricorso è accolto parzialmente, con condanna al pagamento di € 9.480,00 oltre interessi legali dal reclamo al saldo.