Tokenizzazione e frodi su wallet digitali: serve prova dell’autenticazione forte (ABF Collegio di Roma n. 1003 del 04.02.2026)

Principi di diritto (Massima)
L’utilizzo di un wallet digitale affidato a un terzo gestore per l’esecuzione di operazioni di pagamento non esime l’intermediario, quale prestatore di servizi di pagamento, dall’onere di provare l’autenticazione forte delle singole operazioni. Tale prova non può limitarsi alla fase di tokenizzazione della carta nel wallet, ma deve riguardare anche la fase esecutiva delle transazioni, non potendosi ritenere implicita l’avvenuta autenticazione dal fatto che le operazioni risultino autorizzate o dalla sola evidenza che siano state eseguite in modalità contactless. La procedura di associazione della carta al wallet basata sul solo inserimento dei dati statici della carta e sull’invio di un codice OTP non integra un’autenticazione forte, perché i dati della carta non costituiscono alcun fattore. In presenza di operazioni disconosciute su POS fisico, l’intermediario che non documenta l’autenticazione né descrive il relativo processo non assolve l’onere probatorio e le operazioni restano a suo carico.

Il Fatto

I ricorrenti ricevono il 26.04.2025 una telefonata apparentemente proveniente dal servizio clienti della banca. Un operatore riferisce che il conto risulta bloccato per un tentativo di truffa e chiede di cancellare l’app dai rispettivi telefoni. I clienti seguono le istruzioni, senza fornire alcun dato identificativo delle carte di debito collegate al conto.

Tra il 28 aprile e il 2 maggio 2025 vengono eseguite operazioni ad opera di ignoti. A fronte del disconoscimento, la banca propone il rimborso del 50% degli importi, adducendo responsabilità dei clienti. I ricorrenti rilevano di non aver ricevuto l’sms di digitalizzazione delle carte e chiedono il rimborso di euro 6.840,00. In controdeduzioni l’intermediario rappresenta che le operazioni sono state effettuate tramite carte digitalizzate nel wallet S**** Pay e offre il rimborso di euro 4.808,00 subordinato alla manleva.

La motivazione del Collegio

La controversia riguarda operazioni su POS fisico eseguite tramite wallet tra il 28.04.2025 e il 01.05.2025, sotto la vigenza del d.lgs. 11/2010, come modificato dal d.lgs. 218/2017, che ha recepito la Direttiva 2015/2366/UE (PSD 2). L’intermediario afferma che le operazioni risultano correttamente autenticate e contabilizzate e che non è emerso alcun malfunzionamento dei sistemi.

Il Collegio ricorda che gli standard dei wallet provider consentono due modalità di tokenizzazione: direttamente dal wallet, con cattura dei dati della carta o input manuale, oppure dall’app di mobile banking, con i dati già disponibili. In entrambi i casi l’operatività deve rispettare la normativa EBA in materia di SCA. Per la fase di associazione della carta al wallet, il Collegio ha già richiesto che l’intermediario fornisca una precisa descrizione delle modalità con cui vengono autorizzate le singole operazioni (decisione n. 21669/2020).

La Q&A EBA ID 2019_4910 precisa che l’associazione di una carta a un wallet digitale rientra tra le azioni a rischio frode e richiede l’applicazione della SCA: i PSP devono impiegare un’autenticazione forte per l’accesso al conto e una seconda SCA quando l’utente aggiunge la carta al wallet. Per le operazioni successive al 14.09.2019, i dati della carta non integrano alcun fattore: una procedura basata sul loro inserimento e sull’invio di un codice OTP non rappresenta autenticazione forte (Collegio di Roma, decisione n. 8732/2022).

Nel caso di specie la tokenizzazione è avvenuta direttamente dal wallet, con inserimento della carta e invio dell’OTP: non è dunque conforme alla SCA. Quanto alle operazioni disconosciute, le carte digitalizzate sarebbero state poste a contatto con il POS, ma l’intermediario non ha fornito evidenze sull’autenticazione né ha descritto il relativo processo.

Il Collegio richiama il principio del Collegio di coordinamento n. 21285/21: l’uso di un wallet non esime l’intermediario dalla prova dell’autenticazione forte, che non può fermarsi alla tokenizzazione ma deve riguardare la fase esecutiva delle singole operazioni. Il ricorso è pertanto accolto: l’intermediario è tenuto a corrispondere euro 6.840,00, oltre a euro 200,00 di contributo alle spese della procedura e a euro 20,00 di rimborso.