La prova della strong customer authentication grava sull’intermediario (ABF Collegio di Milano n. 8127 del 09.09.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, gli oneri probatori incombono sull’intermediario tanto in ordine all’autenticazione forte del cliente (SCA) quanto alla dimostrazione della colpa grave del titolare del conto. L’intermediario deve provare l’effettivo invio al cliente degli OTP necessari per il login, per l’attivazione del mobile token e per l’abilitazione dell’autenticazione mediante OTP transazionale silente. La mera produzione di log privi di legenda esplicativa e di evidenze dell’invio degli OTP non integra la prova della strong customer authentication. Al mancato raggiungimento di tale prova consegue l’accoglimento della domanda di rimborso e l’assorbimento dell’esame dei profili di colpa grave.

Il Fatto

Il ricorrente chiede il rimborso di € 17.160,00 corrispondenti a quattro bonifici disconosciuti, con azzeramento del saldo del conto. Solo il 10.02.2026, recatosi in filiale dopo un avviso dell’intermediario, apprende dell’esecuzione di tre bonifici disposti in precedenza, due il 19.01.2026 e uno il 20.01.2026, oltre a quello del 09.02.2026 di € 3.150,00.

Il ricorrente riferisce di aver ricevuto il 29.01.2026 un’e-mail che lo invitava ad aggiornare il questionario cliente e di aver avviato la procedura sull’App senza completarla. Sostiene di non aver mai posseduto un dispositivo iPhone, sul quale risulta eseguita l’operatività riportata nei log, e di aver ricevuto solo il primo dei due SMS del 12.01.2026. L’intermediario chiede il rigetto, invocando l’attivazione del mobile token tramite codice riservato e la colpa grave del cliente.

La Motivazione della Corte

Il Collegio richiama i principi in materia di operazioni fraudolente ai sensi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE (PSD2), e gli oneri probatori che gravano sull’intermediario. Oggetto del contendere sono quattro bonifici per complessivi € 17.160,00, eseguiti tra il 19.01.2026 e il 09.02.2026.

Sul piano dell’attivazione del mobile token, i log prodotti riferiscono l’operatività a un dispositivo iPhone che il ricorrente nega di possedere, salvo quattro record relativi a un accesso del 29.01.2026. L’intermediario non fornisce evidenze su quando l’App sia stata installata sul dispositivo Android né sulla possibilità di installarla contemporaneamente su più device. I file di log riportano il medesimo identificativo utente per entrambi i dispositivi, ma manca documentazione che ne confermi l’abbinamento al ricorrente, mentre nella documentazione sui messaggi compare un diverso NDG.

Quanto ai fattori di autenticazione, l’installazione del mobile token risulta avvenuta tramite inserimento OTP, potendosi solo ipotizzare il riutilizzo del PIN. Dai log parrebbe che il 19.01.2026 sia stata autorizzata l’autenticazione delle transazioni mediante PIN e OTP transazionale silente, poi utilizzato per tutti i bonifici contestati. Manca tuttavia l’evidenza dell’invio al numero del ricorrente degli OTP necessari per il login prodromico e per l’attivazione dell’opzione.

Il Collegio valorizza la circostanza che il ricorrente ha negato di aver ricevuto SMS tra il 12.01.2026 e le ore 08:26 del 19.01.2026 e ha prodotto gli screenshot dei messaggi ricevuti, nei quali non si rinvengono comunicazioni in tale intervallo. Nella documentazione dell’intermediario compare, alle ore 10:52 del 12.01.2026, il testo di certificazione del numero, ma senza spiegazioni che consentano di comprendere se si tratti dell’impostazione di un diverso numero telefonico sul quale sarebbero stati inviati gli OTP successivi.

In sintesi, gli elementi forniti dall’intermediario non paiono idonei a comprovare la sussistenza della SCA. Al mancato raggiungimento di tale prova consegue l’accoglimento della domanda e l’assorbimento dei profili di colpa grave. Il Collegio accoglie il ricorso e dispone il pagamento di € 17.160,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00.