Pagamenti online con SCA e mancata allegazione della truffa (ABF Collegio di Roma n. 4726 del 26.05.2026)

Principi di diritto (Massima)
Quando il cliente nega di aver autorizzato un’operazione di pagamento, ai fini dell’applicazione della disciplina PSD2 è sufficiente la negazione dell’autorizzazione, ma il Collegio deve comunque verificare la sussistenza della strong customer authentication. Accertata la conformità del sistema di autenticazione a più fattori, la mancata allegazione delle modalità della truffa, tanto nella denuncia quanto nel ricorso, integra un elemento valutabile per desumere la colpa grave del titolare dello strumento di pagamento. In assenza di elementi idonei a contestualizzare l’evento truffaldino, la pretesa restitutoria resta eccessivamente generica e va respinta.

Il Fatto

Il ricorrente chiede la condanna dell’intermediario al rimborso di due operazioni di pagamento online, disconosciute, di importo pari a 400,05 euro ciascuna, eseguite il 21 agosto 2025 sul proprio conto corrente. Sostiene di non aver mai comunicato a terzi le credenziali di accesso all’home banking.

L’intermediario resiste ricostruendo la sequenza delle operazioni: installazione dell’app bancaria su un nuovo dispositivo con credenziali statiche e un codice dinamico trasmesso via SMS al numero del cliente, quindi avvio e autenticazione dei due pagamenti tramite notifica push e digitazione del PIN. Sul piano della colpa, l’intermediario rileva che il ricorrente non ha offerto alcun elemento sulla dinamica della frode e ne deduce la negligente comunicazione delle credenziali. Domanda quindi il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dal dato normativo dell’art. 10 del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 in recepimento della Direttiva 2015/2366/UE (PSD2). Le operazioni contestate sono successive all’entrata in vigore del Regolamento Delegato (UE) n. 2018/389 e ricadono quindi nel regime dell’autenticazione forte.

Sul piano dell’onere probatorio, il Collegio richiama l’orientamento condiviso tra i Collegi territoriali: ai fini dell’applicazione della PSD2 è necessario e sufficiente che il cliente neghi di aver autorizzato la transazione. Tuttavia, la mancata allegazione dei fatti ben può essere valutata, tra gli altri elementi, per formare il convincimento sulla colpa grave del ricorrente, una volta verificata la sussistenza della strong customer authentication.

Nel caso concreto l’intermediario produce i log dell’invio dell’SMS con il codice dinamico al numero di telefono del ricorrente, il link relativo all’impiego delle credenziali statiche e i log che attestano, per entrambe le operazioni, la validazione tramite token app bancaria a seguito di notifica push. Il sistema descritto risulta pertanto conforme ai requisiti di autenticazione a più fattori e le operazioni si sono concluse senza anomalie nel funzionamento del sistema.

Il Collegio sottolinea che né nella denuncia alle forze dell’ordine né nel ricorso il ricorrente ha ricostruito le modalità della presunta truffa, limitandosi a riferire di aver constatato i due addebiti e di aver ricevuto “messaggi strani”. Le e-mail di alert prodotte sono genuine e riferibili alla configurazione dell’app su un nuovo dispositivo nello stesso giorno delle operazioni. Manca dunque ogni elemento che consenta una ricostruzione alternativa rispetto all’ipotesi della comunicazione delle credenziali ai frodatori.

Richiamando i propri precedenti (tra cui le decisioni nn. 8058/2022, 13177 del 20/12/2024 e 23474/2021), il Collegio ribadisce che le regole sui requisiti di sicurezza dell’autenticazione hanno la funzione di offrire la massima protezione possibile e che è onere di chi allega un’anomalia nel funzionamento del sistema provarla. L’assoluta carenza di allegazione rende eccessivamente generica la rappresentazione del fatto costitutivo della pretesa, legittimando l’ipotesi dell’utilizzo imputabile per colpa grave al titolare. Il ricorso è pertanto respinto.