Colpa grave del cliente esclude il rimborso per truffa del sito clone (ABF Collegio di Milano n. 550 del 21.01.2026)

Principi di diritto (Massima)
Quando il pagatore esegue per intero l’operazione, inserendo personalmente la disposizione di pagamento e tutti i fattori di autenticazione, il pagamento deve considerarsi autorizzato e non trova applicazione il regime di responsabilità per le operazioni di pagamento non autorizzate previsto dalla direttiva 2015/2366/UE (PSD2) e dal d.lgs. n. 11/2010. L’inganno ordito da un terzo tramite sito clone non incide sull’imputabilità dell’ordine, ma rileva sul piano della condotta del cliente. La colpa grave del pagatore, che abbia prestato fede a comunicazioni non verificabili e inserito i dati della carta su un sito non genuino, assume efficacia causale determinante nella produzione del danno e giustifica il rigetto della domanda di rimborso.

Il Fatto

Il ricorrente aveva prenotato tramite un noto provider alberghiero operante on line una struttura in Egitto, registrando i dati della carta, secondo la sua prospettazione, a sola garanzia della prenotazione. Dopo una comunicazione del provider relativa al rifiuto della carta, un soggetto che si qualificava come operatore della struttura lo contattava via WhatsApp, mostrando di conoscere i dati reali della prenotazione. Indotto a ritenere credibile il contatto, il cliente inseriva i dati della carta su un sito clone e autorizzava l’operazione tramite OTP.

Il giorno successivo presentava denuncia ai Carabinieri e chiedeva il disconoscimento all’intermediario, che rigettava la richiesta. Il ricorrente domandava quindi il rimborso di € 1.083,43, oltre interessi e spese. L’intermediario eccepiva che la truffa si era consumata fuori dalla propria sfera di controllo e che l’operazione era stata disposta dal cliente su istruzioni di un terzo non riconducibile alla banca, con conseguente inapplicabilità della disciplina PSD2.

La motivazione del Collegio

Il Collegio individua l’oggetto della controversia nell’operazione contestata del 09/08/2025, di importo pari a € 1.083,43, e prende atto della denuncia presentata il giorno successivo. La truffa si era realizzata mediante un sito clone di una piattaforma e-commerce del settore turistico, sul quale il ricorrente aveva inserito i dati della carta e poi autorizzato la transazione.

Il punto di diritto è netto. Secondo l’orientamento dei Collegi ABF, quando l’operazione è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, l’operazione stessa deve considerarsi autorizzata. Non viene quindi in rilievo il regime di responsabilità per le operazioni di pagamento non autorizzate previsto dalla direttiva 2015/2366/UE e dal d.lgs. n. 11/2010. La difesa dell’intermediario, che pure aveva sostenuto l’inapplicabilità della disciplina, risulta su questo punto coerente con la ricostruzione del Collegio.

In via ulteriore, il Collegio esamina i log informatici prodotti dall’intermediario. Da essi risulta che l’operazione è stata autenticata con i fattori del possesso, tramite notifica push sullo smartphone, e della conoscenza, tramite PIN. L’autenticazione risulta quindi corretta e conforme agli standard.

La parte decisiva della motivazione riguarda la condotta del cliente e la valutazione della colpa. Il Collegio mette a confronto la ricostruzione del ricorso con quella della denuncia e rileva divergenze significative. Nel ricorso il cliente afferma che i dati della carta erano stati inseriti sul provider a titolo di mera garanzia, mentre nella denuncia dichiara che era previsto il pagamento di una caparra. Inoltre, la conversazione WhatsApp con il truffatore risulta intrattenuta dalla fidanzata del ricorrente e non dal cliente stesso, come invece sembrava emergere dall’esposizione del ricorso.

Su questa base il Collegio ritiene raggiunta la prova dell’efficacia causale determinante della colpa grave del ricorrente nella produzione dell’evento dannoso. Il ricorso viene pertanto non accolto, con conseguente esclusione del rimborso richiesto.