Truffa online e carte: prova SCA e colpa grave dell’utente (ABF Collegio di Bari n. 3615 del 23.04.2026)

Principi di diritto (Massima)
In tema di pagamenti online con carta, l’intermediario assolve l’onere di provare l’autenticazione forte del cliente (SCA) quando produce le evidenze del fattore di possesso — notifica push sul device su cui è attivo il token — e del fattore di inerenza — autorizzazione mediante riconoscimento del volto. La regolarità formale dell’autenticazione non esaurisce però l’onere probatorio posto a carico del prestatore di servizi di pagamento dall’art. 10, comma 2, d.lgs. n. 11/2010: occorre la prova, anche presuntiva, della colpa grave dell’utilizzatore, desumibile dalle modalità esecutive dell’operazione. Integra colpa grave la condotta del cliente che fornisca i dati della carta al sedicente acquirente su un sito solo apparentemente riconducibile a quello reale. Il prestatore non è tenuto a un monitoraggio in tempo reale delle operazioni, prescrivendo l’art. 2 del Regolamento Delegato n. 2018/389 un controllo ex post. La mancata attivazione degli alert costituisce carenza organizzativa imputabile all’intermediario, salvo rifiuto documentato del cliente.

Il Fatto

La ricorrente, che aveva posto in vendita un bene su un sito di marketplace, veniva contattata da una finta acquirente. Tramite un sito apparentemente riconducibile a quello reale le venivano indicate le modalità per ottenere il pagamento e le venivano richiesti i dati della carta, che essa inseriva. Da ciò derivavano due addebiti, di € 428,16 e di € 721,96, eseguiti il 10/08/2025. La cliente riferisce di essersi accorta della truffa solo dopo ulteriori richieste di denaro e di aver appreso dal servizio clienti che erano state rilevate anomalie e che le autorizzazioni erano state bloccate automaticamente.

Dopo l’iniziale accredito degli importi disconosciuti, la banca li riaddebitava rilevando criticità nella custodia delle credenziali. L’intermediario ha resistito sostenendo la regolarità della autenticazione forte e la colpa grave della cliente. In sede di repliche la ricorrente ha circoscritto la domanda alla sola operazione di € 428,16, dolendosi del mancato blocco della stessa pur essendo stata ritenuta sospetta.

La motivazione del Collegio

Il Collegio premette che le operazioni ricadono nel campo applicativo del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Preso atto della precisazione della domanda e dell’assenza di deduzioni sul punto da parte dell’intermediario, la disamina viene limitata al pagamento di € 428,16.

Sul piano dell’autenticazione, la banca documenta che il token era associato al profilo della ricorrente dal 03/07/2025 e che il 10/08/2025, alle ore 11:59, l’operazione veniva autorizzata tramite app. Le evidenze prodotte attestano l’invio della notifica push al device registrato e l’autorizzazione mediante Face ID: fattore di possesso e fattore di inerenza risultano quindi integrati. Il Collegio richiama in senso adesivo la giurisprudenza arbitrale che considera tale documentazione idonea a comprovare la conformità alla normativa sulla SCA.

Il passaggio centrale riguarda l’onere probatorio. Secondo il Collegio di Coordinamento n. 22745/2019, la prova dell’autenticazione e della regolarità formale dell’operazione non basta: l’intermediario deve indicare gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave dell’utente. Nel caso concreto gli screenshot dell’interlocuzione con il frodatore non solo non mostrano comunicazioni riconducibili alla banca, ma rivelano una negligenza inescusabile della ricorrente, che ha fornito i dati della carta al sedicente acquirente ricoprendo il ruolo di venditrice.

Quanto al dedotto mancato blocco dell’operazione “sospetta”, il Collegio rileva l’assenza di elementi che ne comprovino il carattere sospetto e ricorda che l’art. 2 del Regolamento Delegato n. 2018/389 impone un monitoraggio ex post, non in tempo reale. Sul versante degli avvisi, l’intermediario ha prodotto le notifiche alert inviate via email, così escludendo la carenza organizzativa censurata dal Collegio di Coordinamento n. 8672/2024. Il ricorso è pertanto non accolto.