Phishing su carta prepagata business (ABF Collegio di Napoli n. 776 del 28.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, l’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione né la frode o la colpa grave dell’utente: è il prestatore di servizi di pagamento a dover fornire la prova del dolo o della colpa grave, non bastando la mera regolarità formale delle transazioni. Quando l’operazione sia stata autorizzata previa autenticazione forte, il concorso di colpa del cliente assume rilievo e giustifica, secondo l’orientamento consolidato, una ripartizione dell’ammanco al 50%. Tuttavia, grava sull’intermediario l’obbligo di predisporre un servizio di sms alert o assimilabile, che consenta all’utente di qualificare il pagamento come non autorizzato: egli può esonerarsene solo dimostrando l’esplicito rifiuto dell’utente. Ove tale servizio manchi e l’attivazione fraudolenta dello strumento sia avvenuta con congruo anticipo rispetto alle sottrazioni, la condotta dell’intermediario determina integralmente la perdita, che resta a suo carico. Il rischio della spedizione dello strumento e delle credenziali è, per espressa previsione normativa, a carico del prestatore.

Il Fatto

Il ricorrente, titolare di una carta prepagata business scaduta nel febbraio 2024, sollecitava in filiale la sostituzione dello strumento e si sentiva rappresentare problemi di spedizione. Il 31.01.2025 riceveva una telefonata da un numero apparentemente riconducibile all’intermediario: l’interlocutore, conoscendo i suoi dati anagrafici, riferiva il ritardo nella consegna della nuova carta e chiedeva conferma dei dati e il codice di sblocco. A seguito di quella interlocuzione, il 04.02.2025 venivano sottratti euro 85.162,00 dalla nuova carta, mai attivata né nella disponibilità del ricorrente.

Esperito il reclamo, riscontrato negativamente, il ricorrente adiva l’Arbitro chiedendo il rimborso integrale e il risarcimento dei danni quantificati nel 15% dell’importo sottratto. L’intermediario, costituitosi, ipotizzava boxing e social engineering, dando atto di aver recuperato euro 55.840,18 e rimborsato il 50% del residuo (euro 14.658,15). In repliche il ricorrente limitava la richiesta a tale ultima somma, oltre ai danni.

La motivazione del Collegio

In via preliminare il Collegio riqualifica la posizione del ricorrente come non consumatore, trattandosi di carta prepagata business riservata ai titolari di partita IVA e alle ditte individuali. Nel merito richiama il quadro normativo del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e la disciplina della strong customer authentication desumibile dagli artt. 97 e 98 della direttiva, dall’art. 10-bis del d.lgs. n. 11/2010 e dal regolamento delegato UE 2018/389.

Il Collegio ribadisce che l’uso di uno strumento registrato non prova di per sé l’autorizzazione dell’operazione: onere del prestatore è documentare elementi di fatto dai quali trarre, anche in via presuntiva, la prova della colpa grave o del dolo dell’utente, non essendo sufficiente la regolarità formale delle transazioni (richiamata la decisione del Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019). Nel caso concreto le operazioni risultano autenticate mediante i fattori del possesso (la carta) e della conoscenza (il PIN), con lettura del microchip: la SCA è dunque provata, ma non la consegna della nuova carta al ricorrente, che anzi ha ammesso di aver comunicato i dati richiesti al sedicente operatore.

Da qui il riconoscimento di un concorso di colpa, per la spedizione non sicura a carico dell’intermediario ai sensi dell’art. 8, comma 2, del d.lgs. n. 11/2010 e per l’incauta condotta del cliente. Secondo l’orientamento consolidato, la colpa del cliente rileva solo in presenza di autenticazione forte, con ripartizione dell’ammanco al 50%, come già avvenuto.

Il Collegio compie però un passaggio ulteriore, richiamando il Collegio di coordinamento n. 8853/2019: sussiste un obbligo dell’intermediario di predisporre il servizio di sms alert o assimilabile, e l’esonero richiede la prova dell’esplicito rifiuto dell’utente. Nella specie non consta né l’attivazione del servizio né il rifiuto, mentre l’attivazione fraudolenta della carta è avvenuta presso un ATM ben quattro giorni prima delle sottrazioni: un sms avrebbe potuto scongiurarle. Le tredici operazioni concentrate in meno di ventiquattro ore integrano inoltre un indice di frode ai sensi dell’art. 8, lett. b), d.m. n. 112/2007. La condotta dell’intermediario ha dunque determinato integralmente la perdita, con condanna al rimborso di euro 14.658,15, arrotondati a euro 14.658,00, nei limiti della domanda. La richiesta di danni è respinta per difetto di prova.