Autenticazione forte e operazioni disconosciute: prova del PSP esclude responsabilità per frode (ABF Collegio di Palermo n. 460 del 21.01.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e, eventualmente, la colpa grave dell’utilizzatore. La prova dell’autenticazione forte a due fattori costituisce l’antecedente logico rispetto alla prova della colpa grave. Ove il PSP dimostri che l’operazione è stata disposta previa strong customer authentication mediante fattori di conoscenza e di possesso riferiti al device associato al conto, la domanda di rimborso dell’utente che non alleghi circostanze concrete sulla frode non è meritevole di accoglimento.

Il Fatto

Il ricorrente chiede la restituzione di euro 840,00, importo di operazioni disconosciute eseguite fraudolentemente da terzi. Sostiene che l’intermediario non abbia osservato la diligenza qualificata richiesta dall’art. 1176, secondo comma, cod. civ., non avendo adottato misure idonee a impedire l’accesso fraudolento ai depositi. Richiama la sentenza della Corte di Cassazione civile n. 2780/2024, secondo cui il phishing costituisce rischio di impresa della banca, che può essere esonerata solo in presenza di colpa grave del cliente.

L’intermediario eccepisce che la frode riconduce allo schema del phishing classico con manipolazione del pagatore, il quale dispone inconsapevolmente le operazioni in danno proprio. Rileva che il ricorrente non ha prodotto documentazione sulla presunta frode e che l’operazione contestata è un bonifico istantaneo online del 30/07/2025, correttamente autenticato, registrato e contabilizzato.

La motivazione del Collegio

Il Collegio muove dal quadro normativo applicabile: le operazioni ricadono sotto il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2). Ai sensi dell’art. 10 del d.lgs. 11/2010, il PSP deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e il comportamento gravemente colposo o fraudolento dell’utilizzatore, anche per presunzioni.

Secondo gli orientamenti condivisi dei Collegi, la prova dell’autenticazione è antecedente logico rispetto alla prova della colpa grave. Il Collegio richiama quindi la disciplina della strong customer authentication, rinvenibile negli artt. 97 e 98 della PSD 2, nell’art. 10-bis del d.lgs. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi EBA. La SCA richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso.

L’intermediario ha documentato che l’operazione è stata disposta previa installazione dell’app sul device, associazione dello strumento di pagamento e configurazione del codice personale. Il device ID dell’operazione dispositiva coincide con quello dell’enrollment e l’utenza telefonica non ha subito modifiche. L’accesso in app del 30/07/2025 è avvenuto con il codice identificativo sul device del cliente, mentre l’autorizzazione del bonifico è stata data con notifica push e inserimento del PIN.

Il Collegio richiama la giurisprudenza del Collegio di Coordinamento n. 21285/21, secondo cui l’autenticazione forte deve presidiare non solo le operazioni dispositive ma anche quelle idonee a incidere sulla sicurezza dello strumento. Nel caso concreto, le evidenze prodotte dimostrano il concorso del fattore di conoscenza e del fattore di possesso.

Da qui la conclusione: sussiste la colpa grave del ricorrente, in presenza della prova dell’autenticazione forte e della mancata allegazione delle circostanze di fatto della frode. Il ricorso è pertanto non accolto.