Operazioni on line disconosciute: prova dell’autenticazione forte e concorso di colpa dell’intermediario (ABF Collegio di Bologna n. 1299 del 13.02.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di operazioni di pagamento on line, è onere dell’intermediario provare che le operazioni siano state correttamente autenticate, registrate e contabilizzate, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010. La prova dell’autenticazione forte, realizzata mediante la combinazione del fattore di possesso e del fattore di conoscenza, soddisfa l’onere di cui alla prima disposizione, ma non esaurisce quello posto dall’art. 10, comma 2: l’intermediario deve indicare elementi di fatto dai quali desumere in via presuntiva la colpa grave dell’utente. Il prestatore di servizi di pagamento è inoltre tenuto a monitorare le operazioni e ad attivare presidi di sicurezza quando emerga un macroscopico indice di anomalia, la cui omessa considerazione integra un concorso di colpa, quantificabile valorizzando gli indicatori del DM 112/2007.

Il Fatto

La ricorrente, titolare di una carta di credito emessa dall’intermediario, si avvede nel luglio 2024 di una serie di acquisti on line effettuati sul medesimo sito. Dopo un primo acquisto di € 1,19, del quale riconosce l’autorizzazione, risultano ulteriori 29 addebiti, cui se ne aggiungono tre riferiti al 6 agosto 2024, per un totale di 32 operazioni e € 3.921,76. La ricorrente blocca la carta, disconosce le operazioni e presenta denuncia e querela, oltre a reclamo.

L’intermediario eccepisce l’inammissibilità del ricorso per genericità e per difformità tra reclamo e ricorso, contestando gli importi indicati. Nel merito sostiene che le operazioni sarebbero state autenticate con codice OTP generato tramite app previa digitazione del PIN, con invio di SMS di alert, e imputa alla cliente la mancata tempestiva attivazione. La ricorrente produce una relazione tecnica informatica, dalla quale emerge un possibile card-not-present e la sussistenza degli indicatori di anomalia del DM 112/2007.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione di inammissibilità e la ritiene superata: nel modulo di disconoscimento e nei reclami l’intermediario è stato messo a conoscenza del totale delle operazioni contestate, anche se non del dettaglio di ciascun pagamento. La questione centrale riguarda quindi l’onere probatorio in materia di operazioni di pagamento disconosciute.

Richiamato il quadro del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, il Collegio ribadisce che, a fronte del disconoscimento, spetta all’intermediario dimostrare l’autenticazione, la registrazione e la contabilizzazione dell’operazione. Nel caso concreto la prova è raggiunta: il cliente aveva installato l’app sul device e le operazioni sono state autorizzate mediante notifica push, quale fattore di possesso, e codice OTP ottenuto previa digitazione del PIN, quale fattore di conoscenza. Si configura dunque l’autenticazione forte e il Collegio richiama, su analoga documentazione, la propria decisione n. 4785/2025.

L’accertamento non si esaurisce però nella regolarità formale. L’art. 10, comma 2 esclude che l’utilizzo di uno strumento di pagamento registrato dimostri di per sé l’autorizzazione dell’operazione o la frode dell’utente. Il Collegio richiama la decisione del Collegio di coordinamento n. 22745/2019, secondo cui la produzione documentale sull’autenticazione non soddisfa l’onere di provare la colpa grave dell’utente, essendo necessario indicare specifici elementi di fatto sulle modalità esecutive dell’operazione.

Da qui la duplice valutazione. Da un lato il Collegio non trascura l’insidiosità delle truffe realizzate con modalità di spoofing, ma rileva la negligenza della ricorrente, che ha omesso il controllo del conto per un notevole lasso di tempo. Dall’altro lato, il numero elevato di transazioni, eseguite in circa venti giorni, in orario notturno e verso un unico beneficiario, costituisce un macroscopico indice di anomalia che avrebbe dovuto allertare i sistemi di monitoraggio dell’intermediario.

Il Collegio applica quindi l’indicatore di cui all’art. 8, lett. a), punto 2, DM 112/2007 — tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo esercente — richiamando le proprie precedenti decisioni n. 11849/2017, n. 4131/2015 e n. 11452/2016. Accertato il concorso di colpa tra le parti, il ricorso è parzialmente accolto e l’intermediario è tenuto alla restituzione di € 3.904,00, oltre al contributo alle spese della procedura e al rimborso versato dalla ricorrente.