Frode informatica su carta di debito e concorso di colpa cliente intermediario (ABF Collegio di Milano n. 1982 del 05.03.2026)

Principi di diritto (Massima)
In materia di servizi di pagamento, la prova della corretta autenticazione dell’operazione mediante autenticazione forte del cliente non esaurisce l’onere del prestatore di servizi di pagamento: ai sensi dell’art. 10, comma 2, D.Lgs. n. 11/2010, spetta all’intermediario dimostrare la frode, il dolo o la colpa grave dell’utilizzatore. La condotta dell’utente che, ingannato da smishing e da applicazione malevola, inquadri la carta e consenta l’emulazione della stessa integra colpa grave e lo espone alle perdite delle prime operazioni. Tuttavia, la rilevazione di indici di anomalia — più operazioni di importo rilevante, in pochi minuti, verso il medesimo esercente — impone all’intermediario di attivare i presidi di monitoraggio: il suo difetto di diligenza tecnica concorre causalmente al danno e giustifica la ripartizione della perdita.

Il Fatto

La ricorrente riceve un SMS apparentemente proveniente dall’intermediario, che la avvisa di un presunto trasferimento di € 980,00 e la invita a contattare un’utenza telefonica per bloccarlo. Chiamato il numero, un sedicente operatore la induce a scaricare tramite link un’applicazione presentata come antivirus. Seguendo le istruzioni, la cliente inquadra la propria carta con la fotocamera del cellulare e i truffatori dispongono cinque transazioni verso il medesimo esercente per complessivi € 3.185,00.

Dopo essersi avveduta della frode, la cliente blocca la carta, sporge denuncia e presenta reclamo, che l’intermediario respinge. La ricorrente chiede quindi la restituzione dell’intera somma. L’intermediario eccepisce che si è trattato di un Card Relay Attack, reso possibile dalla condotta gravemente colposa della cliente, e che le operazioni sono state autenticate con SCA mediante contactless e codice PIN.

La motivazione del Collegio

Il Collegio inquadra la controversia nel D.Lgs. n. 11/2010, come modificato dal D.Lgs. n. 218/2017 in attuazione della PSD2. L’art. 10, comma 1, pone a carico del prestatore l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito malfunzionamenti. La sola prova della corretta autenticazione non basta però a dimostrare l’autorizzazione del pagatore né il dolo o la colpa grave di questi, che restano a carico dell’intermediario ai sensi del comma 2.

Dai log informatici prodotti risulta che le cinque operazioni sono state autorizzate con due fattori: lettura contactless della carta (possesso) e inserimento del PIN (conoscenza). La dinamica del Card Relay Attack è compatibile con tale modalità: il malware ha letto i dati dal chip NFC e li ha trasmessi ai truffatori, che hanno emulato la carta su un POS fisico completando l’operazione con il PIN carpito. L’intermediario ha quindi assolto all’onere probatorio sulla corretta autenticazione.

Passando alla condotta dell’utente, il Collegio ravvisa una colpa grave idonea, ai sensi dell’art. 12 del D.Lgs. n. 11/2010, a porre a carico della cliente le perdite delle operazioni non autorizzate. Dalle sue stesse ammissioni emerge una negligenza inescusabile: ha dato seguito a un SMS proveniente da un’utenza mobile e non da un canale ufficiale, ha chiamato un numero privato, ha installato un’applicazione tramite link estraneo al dominio dell’intermediario e ha inquadrato la carta seguendo le istruzioni di un sedicente operatore.

La responsabilità non si esaurisce però nell’analisi della condotta dell’utente. Il Collegio verifica anche l’adempimento dei doveri di diligenza professionale qualificata ex art. 1176, comma 2, c.c. e dei principi di buona fede. Le cinque operazioni, per € 3.185,00, sono state eseguite tra le 17:47 e le 17:50 del 4 novembre 2025, in soli tre minuti, tutte verso il medesimo beneficiario: operatività con chiari indici di anomalia. Dalla terza transazione risulta integrato l’indice di rischio frode dell’art. 8, lett. a), punto 2, D.M. 112/2007, relativo a tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso il medesimo punto vendita.

Secondo l’orientamento consolidato dell’Arbitro, tali previsioni non hanno valore precettivo diretto in materia di disconoscimento, ma costituiscono parametro per valutare la diligenza tecnica dell’intermediario nell’obbligo di monitoraggio. Di fronte a un’operatività palesemente anomala, i sistemi di sicurezza avrebbero dovuto rilevare il rischio e bloccare le transazioni successive alla seconda. La mancata adozione di tali presidi integra una negligenza tecnica che concorre causalmente al danno.

In ragione del concorso di colpa, il Collegio ripartisce equamente il danno: la ricorrente sopporta la perdita delle prime due operazioni, mentre l’intermediario è tenuto a rimborsare € 1.225,00, relativi alla terza, quarta e quinta operazione, che avrebbe dovuto bloccare. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di € 200,00 alla Banca d’Italia e di € 20,00 alla ricorrente per il rimborso del contributo.