Autenticazione forte provata esclude colpa grave dell’utilizzatore in frodi con carta (ABF Collegio di Milano n. 75 del 08.01.2026)

Principi di diritto (Massima)
In materia di utilizzo fraudolento degli strumenti di pagamento, l’onere di provare l’autenticazione, la corretta registrazione e la contabilizzazione delle operazioni disconosciute grava sull’intermediario. Ove questi dimostri l’esecuzione dell’operazione mediante autenticazione forte a due fattori, il pagamento si presume riferibile all’utilizzatore. È parimenti a carico dell’intermediario la prova della colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui lo stesso sopporta le conseguenze dell’utilizzo fraudolento. La mancata allegazione delle modalità della frode e l’inerzia protratta dopo la ricezione dell’OTP integrano la colpa grave dell’utilizzatore e giustificano il rigetto del ricorso.

Il Fatto

Il ricorrente contesta un addebito non autorizzato sulla propria carta di credito, consistente in un pagamento online di € 901,11. Dal reclamo emerge che l’operazione era stata effettuata in data 05.05.2025 e che il ricorrente se ne era avveduto solo il 17.06.2025, esaminando la lista movimenti ricevuta per posta. Il ricorrente afferma di non aver mai ceduto a terzi né la carta né il codice PIN.

L’intermediario chiede il rigetto del ricorso e, in via subordinata, la riduzione del risarcimento ai sensi dell’art. 1227, primo comma, c.c. Sostiene che l’operazione è stata autenticata correttamente in modalità 3D secure con autenticazione forte e che il ricorrente non ha fornito alcuna informazione sulle circostanze della frode.

La motivazione del Collegio

Il Collegio richiama i principi consolidati in materia di operazioni fraudolente, racchiusi nel D. Lgs. 27.1.2010 n. 11, di recepimento della Direttiva 2007/64/CE, e nel relativo Provvedimento attuativo della Banca d’Italia del 5.7.2011. Da tali disposizioni discendono due passaggi ineludibili sul piano probatorio: l’intermediario deve provare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute; sempre l’intermediario deve provare i fatti idonei a integrare la colpa grave dell’utilizzatore.

Sul primo versante, il Collegio rileva che l’operazione è stata eseguita mediante autenticazione forte a due fattori: l’inserimento del codice OTP, ricevuto via SMS sul numero di cellulare del ricorrente (fattore di possesso), e l’inserimento del codice segreto personale di sei cifre, scelto dal cliente e conosciuto solo dal titolare (fattore di conoscenza). I log prodotti e la relativa legenda confermano l’invio dell’OTP al numero indicato dal ricorrente nel modulo di ricorso. La corretta autenticazione dell’operazione risulta dunque provata.

Passando alla condotta delle parti, il Collegio osserva che il ricorrente non ha riferito nulla sulle modalità con cui sarebbe avvenuto l’utilizzo fraudolento, essendosi limitato a dichiarare di essersi avveduto dell’addebito solo in data 17.06.2025. Tale mancanza di allegazione incombe sul ricorrente secondo i principi richiamati.

A ciò si aggiunge un profilo temporale rilevante: tra l’operazione disconosciuta (05.05.2025) e il momento in cui il ricorrente dichiara di essersene accorto (17.06.2025) è trascorso oltre un mese, nonostante l’invio provato via SMS dell’OTP utilizzato per completare l’autenticazione. Il Collegio ravvisa in ciò la scarsa diligenza ovvero la colpa grave del ricorrente. Non risultano, infine, elementi idonei a provare concorrenti profili di responsabilità dell’intermediario.

Il ricorso è pertanto rigettato.