Truffa con malware e card relay attack (ABF Collegio di Milano n. 4204 del 12.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite mediante card relay attack, il prestatore di servizi di pagamento è tenuto a provare l’avvenuta autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, secondo la sequenza dell’art. 10 del d.lgs. n. 11/2010. Assolto tale onere, la responsabilità può essere esclusa solo dimostrando il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi di condotta. La colpa grave del cliente non elide, tuttavia, l’autonoma responsabilità dell’intermediario che ometta di attivare i presidi di sicurezza in presenza di indici di rischio frode, quali quelli ricavabili dall’art. 8 del D.M. n. 112/2007 e richiamati dall’art. 2 del Regolamento EBA n. 2018/389. Ne consegue il rimborso delle operazioni riconducibili all’anomalia non rilevata.

Il Fatto

Il ricorrente, titolare di conto corrente, carta di debito, carta prepagata e libretto di deposito, riferisce di aver ricevuto il 06.08.2025 un sms apparentemente proveniente dall’intermediario, che lo avvisava di un’operazione sospetta. Seguiva un colloquio telefonico con un sedicente operatore antifrode, al quale forniva indirizzo e-mail e codice fiscale, e scaricava un’applicazione sul proprio dispositivo.

Accedendo all’home banking, il cliente riscontrava quattro bonifici non autorizzati eseguiti con carta prepagata, per complessivi € 1.897,30, e un’ulteriore operazione in uscita di € 580,00. Disconosceva le operazioni e sporgeva denuncia l’08.08.2025, chiedendo il rimborso di € 2.477,30. L’intermediario eccepiva la regolare autenticazione delle operazioni e la colpa grave del cliente, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio richiama il regime dell’art. 10 del d.lgs. n. 11/2010, che gradua l’onere probatorio: il prestatore deve anzitutto provare l’autenticazione, la registrazione e la contabilizzazione dell’operazione e l’assenza di malfunzionamenti; solo in un secondo momento può invocare il comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore per andare esente da responsabilità.

Quanto al primo profilo, il Collegio ritiene provata la SCA. L’enrollment delle carte risulta anteriore ai fatti controversi e il numero associato coincide con quello indicato nella denuncia. Il recupero del PIN in app è attestato dall’inserimento del codice identificativo alle ore 14:10 del 06.08.2025. Le singole operazioni risultano autorizzate mediante lettura contactless della carta e corretto inserimento del PIN, come documentato dalle evidenze prodotte. Quanto all’operazione di costituzione della provvista, il Collegio richiama la decisione del Collegio di coordinamento n. 8671 del 23 luglio 2024, secondo cui i pagamenti tra conti dello stesso utente possono essere sottratti all’obbligo di SCA anche quando abbiano costituito la provvista per successive operazioni fraudolente.

Passando alla condotta del cliente, il Collegio rileva che l’sms prodotto risulta ricevuto il 29.09.2025, quindi in epoca successiva alla truffa, e che il numero contattato non è riconducibile all’intermediario, bensì segnalato come truffaldino. Il cliente, indotto a installare un’applicazione contenente malware, ha appoggiato la carta sullo smartphone, consentendo la lettura dei dati dal chip NFC e la loro trasmissione ai truffatori. Richiamando la decisione n. 1982/26 del 05.03.2026 del medesimo Collegio, si afferma la colpa grave del cliente.

Il Collegio individua tuttavia un profilo autonomo di responsabilità dell’intermediario. Le quattro operazioni disposte tra le 16:23 e le 16:24 integrano l’indice di rischio frode previsto dall’art. 8, punto 2, lett. a, del D.M. n. 112/2007, relativo a tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo punto vendita. Pur priva di valore precettivo diretto, la previsione costituisce un utile indicatore ai sensi dell’art. 2 del Regolamento EBA n. 2018/389. La mancata attivazione dell’intermediario integra una disfunzione organizzativa che impone l’addebito della responsabilità per le operazioni non autorizzate.

Il ricorso è pertanto accolto parzialmente, con rimborso delle ultime due operazioni effettuate con la stessa carta nelle 24 ore presso lo stesso punto vendita, per complessivi € 900,00 in virtù dell’arrotondamento previsto dalle disposizioni ABF. L’intermediario è inoltre tenuto al contributo alle spese della procedura e al rimborso della somma versata per il ricorso.