Frode online con sito clone: obbligo di autenticazione forte e blocco carta (ABF Collegio di Milano n. 2998 del 02.04.2026)

Principi di diritto (Massima)
Nelle controversie sui pagamenti online non autorizzati, il concorso parziale dell’utente in fase dispositiva o autorizzativa non vale, da solo, a qualificare l’operazione come autorizzata, poiché la disciplina speciale di recepimento della PSD II esige che il consenso sia prestato nella forma convenuta tra pagatore e prestatore di servizi di pagamento. L’intermediario che, in presenza di tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita, omette di bloccare lo strumento viola l’obbligo di protezione e risponde del danno relativo alla terza operazione. Le operazioni precedenti restano invece nella sfera dell’utente quando la sua colpa grave nella custodia dello strumento abbia avuto efficacia determinante nella causazione dell’evento.

Il Fatto

La ricorrente entrava in contatto, tramite social network, con una sedicente venditrice di biglietti per un concerto. Ricevuto un link a un sito graficamente e nel dominio simile a quello ufficiale di vendite online, vi inseriva i dati della propria carta di credito. Il sito mostrava un messaggio di errore, ma il pagamento risultava addebitato e la venditrice irreperibile.

Contattato il numero verde della banca, la cliente constatava l’esecuzione, il giorno successivo, di tre operazioni di pagamento per complessivi 417,30 euro. Presentava denuncia e richiesta di disconoscimento, ottenendo esito negativo sull’assunto che l’operazione fosse regolarmente autorizzata. Ricorreva quindi all’Arbitro chiedendo l’accertamento della frode, il rimborso integrale con interessi e spese e la revisione delle procedure di sicurezza. L’intermediario eccepiva l’esecuzione personale delle operazioni, l’autenticazione forte corretta e la negligenza esclusiva della cliente.

La motivazione del Collegio

Il Collegio richiama il quadro del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/17 di attuazione della direttiva 2015/2366/UE. Muovendo dall’orientamento dei Collegi ABF, esclude che il mero inserimento dei dati della carta nel sito clone integri di per sé un’autorizzazione valida: la normativa speciale prescinde dalla nozione civilistica di consenso e richiede la forma convenuta tra le parti.

Passando all’esame dei log informatici prodotti dall’intermediario, il Collegio rileva che le operazioni risultano autenticate tramite fattore di possesso, dato dall’OTP virtuale ricevuto con push sull’APP registrata dalla cliente, e fattore di conoscenza, dato dal PIN inserito in risposta alla push. L’autenticazione forte appare dunque correttamente eseguita.

Sul piano della colpa, la ricorrente non ha prodotto evidenze del link ricevuto, affermando soltanto che l’SMS sarebbe stato cancellato dal truffatore. Tuttavia, dalle evidenze agli atti emerge un indice di anomalia previsto dal D.M. 112/2007: tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita (art. 8, lett. a, punto 2).

Da qui l’accertamento dell’inadempimento dell’intermediario, che avrebbe dovuto bloccare lo strumento al momento della terza operazione. Il danno delle prime due operazioni resta invece nella sfera della ricorrente, per l’efficacia determinante della colpa grave nella custodia dello strumento e nella causazione dell’evento.

Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di 139,00 euro oltre interessi legali dal reclamo al saldo, della somma di 200,00 euro in favore della Banca d’Italia e di 20,00 euro per il rimborso del contributo versato dalla ricorrente.