Operazioni POS non autorizzate: la prova dell’autenticazione forte grava sull’intermediario (ABF Collegio di Milano n. 1100 del 07.02.2026)

Principi di diritto (Massima)
Nelle controversie sui pagamenti elettronici non autorizzati, l’intermediario che invoca l’autenticazione forte deve provarla con riferimento non solo alla fase di enrollment e di tokenizzazione della carta, ma anche alla fase esecutiva delle singole operazioni. La sola circostanza che le transazioni risultino autorizzate o eseguite in modalità contactless non consente di ritenere implicito il corretto svolgimento della SCA. La mancanza, anche parziale, della prova di autenticazione è risolutiva e prevale su qualsiasi valutazione di colpa grave del cliente, costituendo un prius logico rispetto ad essa. Su tale base il ricorso è accolto integralmente.

Il Fatto

Il ricorrente contesta dodici operazioni di pagamento POS eseguite tra il 4 e il 13 ottobre 2025 per complessivi € 10.440,00. Sostiene di non aver mai condiviso i codici del conto, di non aver ricevuto alcun alert SMS e di aver agito tempestivamente; riferisce inoltre di aver ricevuto, il giorno successivo alla scoperta delle operazioni, una notifica Google relativa a una violazione delle password.

L’intermediario chiede il rigetto, ipotizzando che il cliente sia stato vittima di phishing e affermando che le operazioni sono state correttamente registrate e autenticate mediante inserimento delle credenziali, senza malfunzionamenti o intrusioni nei propri sistemi. In replica il ricorrente evidenzia che la tokenizzazione del wallet richiede una consapevole iniziativa dell’utente, mai avvenuta.

La motivazione del Collegio

Il Collegio richiama il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE (PSD II), applicabile alla data delle operazioni. Rileva anzitutto che il cliente non ha prodotto evidenza della presentazione della denuncia, circostanza non menzionata neppure nella ricostruzione dei fatti.

Il punto centrale è la verifica dell’autenticazione forte, che si realizza con almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti e appartenenti a categorie diverse. Sulle fasi di enrollment della carta e di installazione dell’app su nuovo dispositivo l’intermediario produce evidenze articolate: titolarità e attivazione della carta, numero telefonico associato corrispondente a quello indicato nel ricorso, enrollment risalente all’11.09.2025, accesso tramite password e codice dispositivo, invio documentato di OTP via SMS e riferimento ai dati della carta.

Quanto alla tokenizzazione, avvenuta il 13.09.2025, il Collegio osserva che il log in prodromico alla creazione del token risulta autorizzato con codice dispositivo dal dispositivo già enrollato, con autenticazione del token tramite lo stesso codice. Tuttavia — ed è il passaggio decisivo — se da un lato risulta adeguatamente provato l’utilizzo di un fattore di possesso, dall’altro non emerge alcuna evidenza sull’utilizzo di un secondo fattore di autenticazione, come un PIN o il codice dispositivo.

Il Collegio richiama quindi l’orientamento del Collegio di Coordinamento n. 21285/2021, secondo cui la prova non può limitarsi alla fase di tokenizzazione della carta nel wallet, ma deve riguardare anche la fase esecutiva delle singole operazioni. Né l’intermediario riferisce di un eventuale utilizzo, in fase dispositiva, del fattore di sblocco del dispositivo: sul punto la decisione n. 9559/24 del 4 settembre 2024 chiarisce che tale elemento vale come fattore di SCA solo se previamente associato tramite SCA alle credenziali di sblocco del telefono.

Non assolto l’onere probatorio sull’autenticazione delle operazioni contestate, ai sensi dell’art. 10, comma 1, del d.lgs. n. 11/2010, il Collegio accoglie il ricorso e dispone il pagamento di € 10.440,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.