Prelievo smart con QR code: autenticazione forte e colpa grave del cliente (ABF Collegio di Palermo n. 522 del 21.01.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento ai sensi del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218, il prestatore di servizi di pagamento assolve all’onere probatorio dell’art. 10 quando dimostra, mediante i tracciati informatici, che l’operazione è stata autenticata con Strong Customer Authentication a due fattori, correttamente registrata e contabilizzata e non ha subito malfunzionamenti. Accertata la regolarità dell’autenticazione, la valutazione si sposta sulla condotta dell’utente ai sensi dell’art. 12: integra colpa grave il comportamento di chi, su istigazione di uno sconosciuto, acceda alla propria applicazione di home banking e inquadri un QR code ricevuto tramite messaggistica su altro dispositivo, autorizzando così un prelievo di contante in luogo di un accredito. Tale collaborazione attiva interrompe il nesso causale tra l’eventuale sofisticatezza della frode e il danno, escludendo il diritto al rimborso.

Il Fatto

Il ricorrente si rivolge all’ABF lamentando l’esecuzione fraudolenta di un’operazione di prelievo di contante senza carta — il cosiddetto prelievo smart — addebitata sul proprio conto corrente. La vicenda prende avvio da un contatto telefonico intercorso con la figlia, relativo alla vendita di un bene su una piattaforma on line. Non potendo la figlia ricevere il pagamento, il ricorrente si era reso disponibile a incassarlo sul proprio conto e veniva contattato da un’utenza mobile sconosciuta.

L’interlocutore proponeva un accredito mediante scansione di un codice QR con l’applicazione mobile dell’intermediario. Il ricorrente seguiva le istruzioni e inquadrava un QR code inviato sul telefono di un amico presente in quel momento. Subito dopo riceveva una e-mail dell’intermediario che lo informava di un prelievo di contante presso uno sportello ATM in località diversa da quella di residenza. Ritenendo sussistere una falla nei sistemi di sicurezza del servizio, chiedeva la restituzione della somma. L’intermediario eccepiva la regolarità tecnica dell’operazione e la colpa grave del cliente.

La motivazione del Collegio

Il Collegio inquadra la questione nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva PSD2. L’art. 10 pone a carico del prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di malfunzionamenti. L’autenticazione deve avvenire mediante Strong Customer Authentication, basata su due o più fattori tra conoscenza, possesso e inerenza.

Nel caso concreto l’intermediario ha prodotto i log informatici corredati da legenda. Da essi emerge che l’accesso all’app di mobile banking è avvenuto dal dispositivo associato al ricorrente, quale fattore di possesso, ed è stato validato tramite riconoscimento dell’impronta digitale, quale fattore di inerenza. Anche la successiva disposizione di prelievo smart è stata confermata mediante riconoscimento biometrico. Tale modalità è giudicata conforme ai requisiti di sicurezza della normativa vigente, PSD2 e Regolamento Delegato UE 2018/389, garantendo l’univoca riconducibilità dell’operazione allo strumento e al cliente.

Il Collegio richiama l’orientamento consolidato dei Collegi — citando Collegio ABF Roma, decisione n. 3032/23 — secondo cui la modalità autorizzativa basata sull’applicazione su dispositivo certificato e sul QR code è conforme alla SCA. Dalla documentazione tecnica non emergono, inoltre, evidenze di malfunzionamenti o accessi abusivi ai sistemi informatici.

Accertata la corretta autenticazione, la valutazione si sposta sulla condotta dell’utente ai sensi dell’art. 12. Dalla stessa ricostruzione del ricorrente, resa anche in sede di denuncia alle autorità di polizia, emerge che egli ha agito su istigazione del truffatore, accedendo alla propria app e inquadrando un QR code ricevuto sul telefono di un terzo. Il Collegio rileva che il prelievo smart è funzionale al ritiro di contante e non all’accredito di somme: seguire le istruzioni di uno sconosciuto, usando una funzionalità di prelievo per un presunto incasso, denota un comportamento imprudente. La scansione di un QR code esterno al circuito bancario integra una violazione degli obblighi di custodia e corretto utilizzo dello strumento di pagamento.

Il Collegio richiama infine Collegio ABF Milano, decisione n. 9756/23, secondo cui la collaborazione attiva del cliente con il truffatore, che consente il collegamento tra il dispositivo e l’ATM, interrompe il nesso causale tra l’eventuale sofisticatezza della frode e il danno. Non ravvisandosi carenze nei sistemi di sicurezza e sussistendo la colpa grave dell’utente, il ricorso è rigettato.