Frode con social engineering e onere della prova sull’autenticazione forte nel pagamento con carta (ABF Collegio di Milano n. 4346 del 13.05.2026)

Principi di diritto (Massima)
Qualora l’utilizzatore neghi di aver autorizzato un’operazione di pagamento, il prestatore di servizi di pagamento deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. L’assolvimento di tale onere è necessario ma non sufficiente: ai fini dell’esonero da responsabilità occorre inoltre dimostrare che l’uso indebito del dispositivo deriva da un comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta impostigli. La produzione documentale che attesti la sola formale regolarità dell’operazione non soddisfa l’onere probatorio, dovendo l’intermediario indicare specificamente gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave. In difetto di piena prova sull’autenticazione forte, la domanda di rimborso va accolta per intero, poiché la prova dell’autenticazione costituisce un prius logico rispetto alla prova della colpa grave dell’utente.

Il Fatto

Il ricorrente riferisce di aver ricevuto un sms apparentemente proveniente dall’intermediario, che segnalava una transazione sospetta e lo invitava a contattare un numero di cellulare. Chiamato il numero, un soggetto qualificatosi come operatore dell’intermediario lo induceva a trasferire i fondi su altra carta per ragioni di sicurezza. Seguendo le istruzioni, il cliente eseguiva nove transazioni tramite app e inviava copia del documento di identità via e-mail. Solo in seguito si avvedeva che sei transazioni erano state eseguite in favore di conti di gioco.

Bloccata la carta e trasmessa la segnalazione, il cliente chiede la restituzione di € 6.861,00, oltre spese e interessi. L’intermediario controdeduce che le operazioni risultano autenticate tramite sistema 3D-Secure e che la conferma via app mostra importo e nome del commerciante, cosicché la transazione può essere approvata con cognizione. Chiede la chiusura della procedura o il rigetto della domanda. Il cliente replica di essere stato indotto in inganno con una frode da social engineering, senza aver mai comunicato credenziali, PIN o password.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione dell’intermediario secondo cui la controversia sarebbe stata risolta con accordo o in altro modo. Non vi sono in atti documenti che comprovino la pendenza o il buon esito di una procedura di conciliazione o mediazione; nel modulo di ricorso il cliente si è espresso negativamente su entrambi i punti e nelle repliche ha insistito per il rimborso. Nessun elemento depone, dunque, per la cessazione della materia del contendere.

Nel merito, le operazioni ricadono nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva PSD2. L’art. 10, comma 1, pone a carico del prestatore l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Tale prova è necessaria ma non sufficiente: l’art. 10, comma 2, richiede anche la dimostrazione del comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Il Collegio richiama l’orientamento del Collegio di Coordinamento, secondo cui la documentazione attestante l’autenticazione e la formale regolarità dell’operazione non esaurisce l’onere probatorio: occorre che l’intermediario indichi specificamente gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la prova della colpa grave (decisione n. 22745/2019). Vengono inoltre considerati gli artt. 97 e 98 PSD2, l’art. 10-bis del d.lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389, con i criteri interpretativi dell’EBA.

L’art. 12 del medesimo decreto stabilisce che, salvo il caso di comportamento fraudolento del pagatore, questi non sopporta alcuna perdita se il prestatore non esige un’autenticazione forte del cliente, definita dall’art. 1, lett. q-bis, come autenticazione basata su due o più elementi indipendenti tra conoscenza, possesso e inerenza. Nel caso concreto l’intermediario non ha prodotto evidenze documentali sulle modalità di autenticazione delle operazioni contestate. Il difetto di piena prova comporta l’accoglimento integrale della domanda.

Quanto agli interessi, la riformulazione contenuta nelle repliche non integra una mutatio libelli, ma la puntualizzazione di una domanda già proposta, sicché non sussiste questione di ammissibilità. L’intermediario deve riportare il conto nello stato in cui si sarebbe trovato senza l’operazione, assicurando che la valuta dell’accredito di € 6.861,00 non sia successiva a quella dell’addebito, ai sensi dell’art. 11 del d.lgs. n. 11/2010.