SCA non provata sulla tokenizzazione della carta: rimborso delle operazioni frodate (ABF Collegio di Palermo n. 5301 del 09.06.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di operazioni di pagamento eseguite con carta tokenizzata in un wallet digitale, il prestatore di servizi di pagamento è tenuto a provare, ai sensi dell’art. 10-bis del d.lgs. n. 11/2010, non solo la corretta registrazione e contabilizzazione delle operazioni, ma anche l’effettivo esperimento della strong customer authentication in ciascuna delle fasi che precedono la disposizione, compresa la tokenizzazione dello strumento. La mancata documentazione di tale fase, e delle modalità di autenticazione delle singole operazioni, integra il difetto di prova dell’autenticazione e determina la qualificazione delle operazioni come non autorizzate, con conseguente obbligo di rimborso integrale. La prova dell’autenticazione costituisce antecedente logico rispetto alla prova della colpa grave dell’utilizzatore.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 29.09.2025 un messaggio SMS apparentemente proveniente dal servizio antifrode dell’intermediario, che segnalava un’operazione sospetta sulla propria carta e invitava a contattare un numero telefonico. Messosi in contatto con il presunto operatore, non comunicava codici, PIN o OTP, né autorizzava alcun pagamento. Apprendeva poi dal servizio clienti reale che era stato eseguito un pagamento non autorizzato di € 979,00.

Recatosi presso un ufficio dell’intermediario per ottenere il blocco della carta, l’operatore disponeva invece l’estinzione dello strumento e il trasferimento del saldo su una nuova carta. Secondo il ricorrente tale procedura consentiva ai frodatori di eseguire cinque ulteriori operazioni, per complessivi € 3.489,96. L’intermediario, che aveva restituito l’importo di € 979,00, ha sostenuto la riconducibilità della vicenda al phishing classico e la regolare autenticazione delle operazioni tramite token con procedura SCA.

La motivazione del Collegio

Il Collegio richiama l’art. 10 del d.lgs. n. 11/2010 e l’orientamento del Collegio di Coordinamento n. 22745/2019: il prestatore deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, l’assenza di malfunzionamenti e il comportamento gravemente colposo dell’utilizzatore. Il quadro normativo della SCA è individuato negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010 e nel Regolamento Delegato UE 2018/389, con i criteri interpretativi del parere EBA del 21 giugno 2019.

L’autenticazione forte richiede almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti e appartenenti a categorie diverse. Nel caso esaminato, l’intermediario ha documentato l’enrollment dell’app su un altro dispositivo, con username, password e codice OTP, e la tokenizzazione della prima carta alle 16:48 mediante inserimento del PIN.

Il Collegio rileva tuttavia che la seconda carta, attivata in sostituzione della prima, è stata tokenizzata senza che fossero indicati l’ora e le modalità, e che con essa sono state eseguite le cinque operazioni contestate tra le 18:25 e le 18:27, presso un’impresa di onoranze funebri, senza alcuna documentazione sulle modalità di autenticazione.

La prova della SCA è dunque mancata proprio con riferimento alla tokenizzazione della carta utilizzata per le operazioni non rimborsate e all’effettuazione delle medesime. Il ricorso è pertanto accolto, senza necessità di ulteriori valutazioni, con condanna dell’intermediario al pagamento di € 3.489,96, oltre interessi dalla data del reclamo, al contributo di € 200,00 in favore della Banca d’Italia e al rimborso di € 20,00 per le spese della procedura.