Tokenizzazione della carta e autenticazione forte ai fini del rimborso (ABF Collegio di Bari n. 208 del 13.01.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che invoca l’autenticazione forte del cliente deve fornire la prova dei fattori concretamente utilizzati per ciascuna operazione disconosciuta, ivi compresa la fase di tokenizzazione della carta su un wallet digitale. In mancanza di tale prova, ai sensi dell’art. 10-bis, comma 1, d.lgs. n. 11/2010 e dell’art. 12, comma 2 bis, d.lgs. n. 11/2010, è l’intermediario a sopportare le conseguenze delle operazioni non autorizzate. Per le operazioni compiute tramite app di home banking, la regolarità formale dei log e la conformità dei fattori a possesso e conoscenza alla SCA non escludono il concorso di colpa grave dell’utilizzatore, che il Collegio desume dal furto in luogo pubblico e dalla mancata diligente custodia dei codici. La prova della sola autenticazione formale dell’accesso all’app non è sufficiente a dimostrare l’autorizzazione del bonifico.

Il Fatto

Il ricorrente subisce il furto del telefono cellulare in una strada pubblica il 9 maggio 2025, alle ore 13:30. I malfattori riescono ad accedere all’app di home banking dell’intermediario e a disporre un bonifico istantaneo di € 2.000,00, oltre a tokenizzare su un wallet la carta di debito non ancora attivata, che si trovava ancora in busta chiusa presso il domicilio. Dalla carta derivano numerosi pagamenti POS, protrattisi per i due giorni successivi.

Il ricorrente contatta la banca alle ore 14:57, chiedendo il blocco di ogni accesso da remoto. L’intermediario rimborsa solo le operazioni dell’11 maggio 2025 per complessivi € 1.300,50, negando il resto per asserita colpa grave del cliente. Il ricorrente agisce chiedendo € 5.655,69 di rimborso.

La motivazione del Collegio

In via preliminare il Collegio ritiene infondata l’eccezione di inammissibilità delle nuove produzioni in sede di repliche. Lo screen shot delle telefonate, la foto della carta con il PIN e l’integrazione di querela sono ammissibili, in linea con il divieto di domande nuove ma non di nuove difese documentali.

Sul piano del rimborso, il Collegio procede all’esame limitatamente a € 5.632,29, espungendo l’operazione di € 23,40 già rimborsata. Il quadro normativo è quello del d.lgs. n. 11/2010, come novellato dal d.lgs. n. 218/2017 e dal Regolamento Delegato (UE) 2018/389 in materia di SCA. Il rischio di utilizzo fraudolento grava in prima battuta sull’intermediario, il quale può sottrarsi al rimborso solo provando il dolo o la colpa grave dell’utilizzatore.

Sull’accesso all’app e sul bonifico, il Collegio verifica positivamente la conformità dei fattori: possesso, costituito dal device sul quale era già installata l’app, e conoscenza, rappresentata dal PIN. La documentazione tecnica corredata di legenda consente di verificare la regolarità formale dell’operazione. Il Collegio, richiamando propri precedenti, ritiene quindi provata la SCA per il bonifico.

Quanto alla colpa grave, il Collegio la desume da più indizi: il furto avvenuto in luogo pubblico, la mancata prova del blocco del telefonino e dell’utenza SMS secondo le previsioni contrattuali, il successo dell’operazione dopo soli due tentativi falliti e il breve lasso temporale tra furto e disposizione fraudolenta. Tali elementi, letti unitariamente, dimostrano la negligente custodia dei codici.

Sul versante opposto, la domanda relativa ai pagamenti POS è accolta per € 3.630,29. La carta è stata registrata su un wallet digitale, ma né la documentazione in atti né i log dell’app recano alcun riferimento ai fattori di autenticazione impiegati per la tokenizzazione: la trasmissione dei dati della carta non integra né un elemento di possesso né di conoscenza. Richiamando la decisione n. 9559/2024 e la decisione n. 21285/2021 del Collegio di Coordinamento, il Collegio conclude che, in mancanza di prova dell’autenticazione forte per la fase di digitalizzazione, l’intermediario sopporta integralmente le conseguenze delle operazioni disconosciute. Il ricorso è quindi parzialmente accolto, con rimborso di € 3.630,29 e condanna dell’intermediario al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 al ricorrente.