Phishing e nuovo dispositivo: il cooling-off integra la strong customer authentication (ABF Collegio di Napoli n. 1194 del 10.02.2026)

Principi di diritto (Massima)
In materia di utilizzo non autorizzato di strumenti di pagamento, ai sensi dell’art. 10 d.lgs. n. 11/2010 grava sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, nonché di dimostrare il dolo o la colpa grave dell’utente. Il mero utilizzo delle credenziali di sicurezza non è sufficiente a dimostrare l’autorizzazione dell’operazione né la colpa grave del cliente. L’associazione di un nuovo dispositivo costituisce fase di massima criticità del processo di autenticazione, poiché abilita uno strumento a operare in piena autonomia. L’assenza di un adeguato intervallo temporale tra enrollment e piena operatività del device integra un deficit dei presidi organizzativi del prestatore e rende inefficace la funzione preventiva della strong customer authentication, con conseguente diritto dell’utente al rimborso.

Il Fatto

La ricorrente lamenta l’esecuzione di operazioni di pagamento fraudolente compiute, tra il 25 e il 29 ottobre 2024, su due carte di pagamento emesse dall’intermediario, per un importo complessivo di € 1.425,28: sei operazioni su una carta prepagata “evoluta” per € 1.335,28 e una su una carta “standard” per € 90,00. La cliente riferisce di aver scoperto le operazioni solo il 13 novembre 2024, quando l’applicazione dell’intermediario risultava bloccata; il giorno successivo, appresa l’esecuzione delle operazioni presso un ufficio postale, presentava denuncia e reclamo chiedendo il rimborso.

L’intermediario si costituisce sostenendo che le operazioni erano state eseguite previa regolare autenticazione forte e che la frode derivava da condotta colposa della ricorrente, la quale avrebbe comunicato a terzi i codici di sicurezza, consentendo l’enrollment di un nuovo dispositivo. Chiede quindi il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuato nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, con richiamo agli artt. 97 e 98 della direttiva, all’art. 10-bis del decreto e al Regolamento Delegato UE 2018/389. Il riparto probatorio è fissato dall’art. 10, comma 1, d.lgs. n. 11/2010: negando l’utente di aver autorizzato l’operazione, spetta al prestatore provare l’avvenuta autenticazione, registrazione e contabilizzazione. Il comma secondo aggiunge che l’uso di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione né la colpa grave del cliente, dovendo l’intermediario provare la frode, il dolo o la colpa grave.

L’intermediario ha prodotto evidenze tecniche: l’enrollment del nuovo dispositivo è stato completato mediante inserimento dei dati della carta e successivo OTP inviato via SMS all’utenza certificata; le operazioni sono state autorizzate con fattori di conoscenza e di possesso, in conformità alle procedure interne.

Il Collegio ritiene tuttavia decisivo il ridottissimo lasso temporale tra l’associazione del nuovo dispositivo (ore 14:38) e la prima operazione fraudolenta (ore 14:45). L’associazione di un nuovo device è fase di massima criticità, perché abilita uno strumento a operare in autonomia sul conto e sugli strumenti di pagamento. In tale prospettiva il Collegio richiama l’Opinion dell’EBA del 29 aprile 2024, che raccomanda un adeguato intervallo temporale (c.d. cooling-off period) tra registrazione del dispositivo e piena operatività, oltre a presidi di monitoraggio rafforzati subito dopo l’enrollment.

Nel caso concreto il device è divenuto immediatamente operativo, senza periodo di raffreddamento, e le operazioni fraudolente sono seguite a pochi minuti di distanza; l’intermediario non ha dedotto né dimostrato di aver attivato misure ulteriori di verifica o blocco. Tale circostanza evidenzia un deficit dei presidi organizzativi e procedurali, poiché l’assenza di uno spazio temporale minimo ha reso inefficace la funzione preventiva della SCA. Il ricorso è quindi parzialmente accolto, con accertamento del diritto al risarcimento per € 713,00 oltre interessi legali dalla data del reclamo, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla ricorrente.