Uso fraudolento della carta online e onere di allegazione del cliente (ABF Collegio di Bologna n. 1297 del 13.02.2026)

Principi di diritto (Massima)
Nel disconoscimento di un’operazione di pagamento e-commerce, il mero disconoscimento da parte del cliente non è sufficiente a fondare la responsabilità dell’intermediario. Incombe sul cliente l’onere di allegare circostanze di fatto specifiche e circostanziate idonee a rendere plausibile che l’operazione sia stata disposta da un terzo non autorizzato. Ove l’intermediario fornisca prova che l’operazione è stata autorizzata mediante Strong Customer Authentication, attraverso l’uso combinato di un fattore di inerenza e di un fattore di possesso veicolati dal dispositivo abituale del cliente, e non emergano indici di anomalia tecnica o di sistema, la prova dell’autenticazione forte non è superata dal disconoscimento generico. La mancata ricezione di sms di alert è irrilevante quando si tratti di un’unica operazione già autorizzata.

Il Fatto

Il ricorrente, titolare di una carta di credito collegata a un conto corrente acceso presso l’intermediario resistente, il 28 luglio 2025 rilevava, accedendo all’applicazione dell’intermediario, un’operazione di pagamento e-commerce di euro 198,78 che riteneva non autorizzata. Affermava di non aver effettuato acquisti on-line, di non aver comunicato codici di sicurezza e di non aver ricevuto sms di alert, provvedendo poi al blocco della carta e alla presentazione di denuncia.

L’intermediario eccepiva la correttezza dell’operazione, autorizzata mediante Strong Customer Authentication tramite impronta digitale e OTP generato da Mobile Token, entrambi veicolati dal dispositivo mobile abitualmente utilizzato dal ricorrente e invariato nei giorni antecedenti e successivi. Evidenziava l’assenza di anomalie tecniche e la mancata allegazione, da parte del ricorrente, di elementi idonei a ricostruire le modalità della presunta frode. Il ricorrente, in replica, ribadiva la propria estraneità senza ulteriori precisazioni.

La motivazione del Collegio

Il Collegio inquadra la controversia nell’ambito del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD2). Rileva preliminarmente che il caso non rientra nelle ipotesi di furto o smarrimento dello strumento di pagamento, per le quali l’ordinamento prevede una presunzione legale di mancata autorizzazione dell’operazione. Si verte invece in materia di utilizzo fraudolento on-line, rispetto al quale il mero disconoscimento non è sufficiente a fondare la responsabilità dell’intermediario.

Secondo il consolidato orientamento dell’Arbitro Bancario Finanziario — richiamato nel provvedimento con il riferimento al Collegio di Bologna, decisione n. 5717 del 6.4.2022 — in tali fattispecie incombe sul cliente l’onere di allegare circostanze di fatto specifiche e circostanziate idonee a rendere plausibile che l’operazione sia stata disposta da un terzo non autorizzato.

Nel caso concreto, il ricorrente si è limitato a contestare l’operazione in termini del tutto generici, senza alcuna ricostruzione delle modalità della presunta frode né indicazione di eventi o circostanze concrete idonee a spiegare l’intervento di terzi. Anche la denuncia prodotta si limita alla segnalazione dell’addebito, risultando priva di elementi utili alla ricostruzione causale dell’evento.

A fronte di tale lacunosità, l’intermediario ha fornito prova che l’operazione è stata autorizzata mediante Strong Customer Authentication, attraverso l’utilizzo combinato dell’impronta digitale (fattore di inerenza) e dell’OTP dinamico generato da Mobile Token (fattore di possesso), entrambi veicolati dal dispositivo mobile abitualmente utilizzato dal ricorrente, come attestato dai log prodotti. In assenza di indici di anomalia tecnica o di sistema, tale prova, unitamente all’utilizzo del dispositivo abituale, non risulta superata da elementi contrari idonei a ricondurre l’operazione all’intervento di un terzo non autorizzato.

Quanto alla dedotta mancata ricezione di sms di alert, il Collegio la ritiene irrilevante, trattandosi di un’unica operazione già autorizzata. Alla luce di quanto precede, la carenza di allegazioni circostanziate da parte del ricorrente, a fronte della prova dell’autenticazione forte offerta dall’intermediario, assume rilievo determinante ai fini dell’imputazione dell’operazione ed esclude la responsabilità dell’intermediario. Il ricorso, pertanto, non è accolto.