Operazioni non autorizzate tra SCA mancante su tokenizzazione e responsabilità dell’intermediario (ABF Collegio di Milano n. 816 del 29.01.2026)

Principi di diritto (Massima)
In materia di operazioni non autorizzate eseguite mediante strumenti di pagamento, la mancanza anche parziale della prova del rispetto dei presidi di strong customer authentication in tutte le fasi dell’operazione, a partire dall’accesso al sistema, è risolutiva e dirimente e costituisce un prius logico rispetto alla valutazione di eventuali profili di colpa grave del cliente. Ove difetti l’attestazione di un fattore di possesso nella fase di tokenizzazione dello strumento, l’intermediario è tenuto al rimborso del controvalore delle operazioni. Restano invece esenti da autenticazione forte le operazioni di costituzione della provvista poste in essere personalmente dal cliente, e non è configurabile alcuna responsabilità solidale dell’intermediario presso cui è radicato il conto di provenienza quando il nesso causale sia interrotto dall’atto del danneggiato.

Il Fatto

Il ricorrente, dopo l’esito insoddisfacente della fase di reclamo, si rivolge all’Arbitro deducendo di essere stato contattato il 15.01.2025 da un sedicente operatore di un intermediario. Mediante artifizi riconducibili allo smishing e al vishing il truffatore lo induceva a eseguire dodici bonifici istantanei dal conto intrattenuto presso un primo intermediario in favore del conto detenuto presso un secondo intermediario. Ottenuto il controllo dell’account, il truffatore eseguiva ulteriori quarantaquattro operazioni dispositive.

Il cliente riteneva entrambi gli intermediari responsabili in solido e chiedeva il rimborso complessivo di € 8.587,50, oltre interessi, spese di assistenza difensiva e risarcimento del danno non patrimoniale. Si costituivano entrambi i resistenti, eccependo il primo l’estraneità delle ricariche alla disciplina delle operazioni non autorizzate e il secondo l’avvenuto rimborso di quattro operazioni per € 996,00 e l’esecuzione delle restanti in modalità conforme a SCA.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di inammissibilità della domanda risarcitoria per carenza di preventivo reclamo, ritenendola infondata: la richiesta era stata comunque introdotta nelle contestazioni preliminari. La domanda, peraltro non reiterata nelle repliche e dunque da intendersi rinunciata, è comunque sfornita di corredo probatorio, dovendosi richiamare il principio per cui il danno non patrimoniale non è in re ipsa e va provato anche mediante presunzioni semplici.

Nel merito, la materia è regolata dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2. Il Collegio richiama gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d.lgs. n. 11/2010 e il Regolamento Delegato Ue 2018/389, soffermandosi sui tre fattori di autenticazione — conoscenza, inerenza, possesso — e sulla distribuzione degli oneri probatori in caso di disconoscimento.

Quanto ai dodici bonifici dal primo conto, si tratta di operazioni di giroconto verso un conto intestato allo stesso cliente, esenti da autenticazione forte e comunque disposte personalmente dal ricorrente, come emerge dalle dichiarazioni confessorie rese in sede di denuncia. Non sussiste pertanto alcuna responsabilità dell’intermediario A, neppure ex art. 1176, comma 2, cod. civ., poiché il nesso causale è interrotto dall’atto del danneggiato, consistente nell’esecuzione personale dei giroconti.

Sul secondo conto, le tracciature confermano che il truffatore, ottenuti i fondi, accedeva autonomamente e associava il proprio dispositivo. Per venti operazioni eseguite in modalità “CHALLENGE” i log non consentono di identificare il dispositivo della tokenizzazione: risultano solo il PAN della carta e il nuovo token, senza evidenza della verifica di un fattore di possesso. La mancanza della prova dei presidi di sicurezza è risolutiva rispetto alla colpa del cliente e impone il rimborso. Le altre venti, autorizzate con fattori biometrici, risultano conformi a SCA; tuttavia il Collegio rileva l’inefficienza del sistema di monitoraggio, avendo i pagamenti proseguito dopo il presidio antifrode, e riconosce anche per esse la ripetizione, con interessi al tasso legale dal reclamo.

Respinta la richiesta di spese di assistenza difensiva, qualificabile come danno emergente soggetto alla prova di una condotta gravemente scorretta o dilatoria.