Carta di credito e prelievi cardless dopo furto: prova SCA condiziona addebito (ABF Collegio di Milano n. 1099 del 07.02.2026)

Principi di diritto (Massima)
Nelle controversie relative a operazioni di pagamento eseguite tramite app installata su dispositivo mobile oggetto di furto, grava sull’intermediario la prova della corretta autenticazione forte del cliente ai sensi dell’art. 10 del d. lgs. n. 11/2010. La prova deve coprire entrambi i fattori di autenticazione richiesti, che devono risultare reciprocamente indipendenti e appartenere a categorie diverse. La mancanza, anche parziale, della dimostrazione del secondo fattore è risolutiva e dirimente: essa precede logicamente e assorbe ogni valutazione sulla colpa grave dell’utente. In difetto di tale prova l’operazione non è imputabile al cliente e l’intermediario è tenuto al rimborso.

Il Fatto

Il ricorrente subisce il furto del proprio cellulare mentre si trova in vacanza. Al rientro in albergo comunica subito all’intermediario il furto e chiede il blocco della carta libretto, presentando poi formale denuncia. Nei giorni successivi vengono eseguiti prelievi dal libretto postale cointestato e un trasferimento di provvista su una carta a lui intestata, con successivo prelievo presso l’ATM.

Il ricorrente chiede il rimborso di € 1.200,00, corrispondenti a due prelievi cardless da € 600,00 eseguiti il 20 e il 21 aprile 2025 tramite l’app presente nel device rubato. L’intermediario resiste sostenendo che le operazioni sono state correttamente autenticate, registrate e contabilizzate e che il cliente avrebbe conservato il codice di accesso insieme al telefono, con colpa grave nella custodia.

La motivazione del Collegio

Il Collegio delimita l’oggetto del ricorso a due soli prelievi da € 600,00, pur dando atto che la denuncia menziona quattro operazioni. Richiama quindi la disciplina applicabile ratione temporis, ossia il d. lgs. n. 11/2010 come modificato dal d. lgs. n. 218/2017 di attuazione della direttiva PSD II, e verifica la corretta esecuzione delle procedure di autenticazione forte del cliente (SCA).

La SCA si realizza con almeno due dei tre fattori di conoscenza, inerenza e possesso, che devono essere indipendenti e appartenere a categorie diverse. L’intermediario ha descritto la procedura primaria fondata sul codice alfanumerico scelto dall’utente, associato in modo univoco al dispositivo, e sulla disponibilità del device stesso. Ha inoltre illustrato i passaggi del prelievo senza carta, dalla scansione del codice QR sull’ATM all’inserimento del codice e alla conferma.

Dall’esame delle evidenze prodotte emerge però un dato decisivo. I log relativi ai prelievi ATM dimostrano l’utilizzo dell’app, ma non l’inserimento del codice identificativo; nelle tracciature di log-in manca inoltre il dettaglio della fase di transizione presente in calce alle altre. Il secondo fattore di autenticazione, dunque, non risulta provato.

Il Collegio richiama i propri precedenti in casi analoghi e con documentazione simile prodotta dal medesimo intermediario, nei quali la SCA è stata ritenuta non provata (decisioni n. 1446/2025, n. 9328/2024 e n. 12385/2024). Afferma quindi che la mancanza, anche parziale, della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa del cliente: la prova della SCA costituisce l’antecedente logico della prova della colpa grave dell’utente.

Il ricorso è pertanto accolto, con condanna dell’intermediario al pagamento di € 1.200,00 in favore del ricorrente, oltre al contributo di € 200,00 alle spese della procedura e al rimborso di € 20,00 versato per la presentazione del ricorso.