Responsabilità concorrente dell’intermediario per boxe su carta di debito e social engineering (ABF Collegio di Bologna n. 1744 del 25.02.2026)

Principi di diritto (Massima)
Nel caso di sottrazione della carta di pagamento mediante la tecnica del boxing, la responsabilità per le operazioni non autorizzate è posta a carico dell’intermediario in forza dell’art. 8, comma 2, D.lgs. n. 11/2010, che addossa al prestatore di servizi di pagamento i rischi derivanti dalla spedizione dello strumento e delle relative credenziali. Quando al boxing si accompagna il social engineering, e dunque il cliente abbia violato l’obbligo di custodia delle credenziali, la responsabilità diviene concorrente. La ripartizione non è però automaticamente egualitaria: se l’intermediario ha violato gli indici di rischio di frode di cui all’art. 8, D.M. n. 112/2007, la sua quota di responsabilità è maggiore e il rimborso dovuto cresce in proporzione. La domanda di refusione delle spese legali è ammissibile, ma richiede prova dell’effettività e della funzionalità dell’assistenza professionale.

Il Fatto

La ricorrente aveva subito, tra il 26 e il 28 giugno 2024, sette operazioni non autorizzate — quattro prelievi ATM e tre pagamenti POS — per complessivi € 3.400,00, eseguite con la carta bancomat associata al proprio conto. La nuova carta di debito, spedita dall’intermediario, era stata intercettata da terzi ignoti, che l’avevano attivata e utilizzata digitando il codice PIN della carta precedente, ormai scaduta.

Disconosciute le operazioni, l’intermediario aveva restituito solo il 50% dell’importo, pari a € 1.700,00, invocando l’orientamento dell’Arbitro secondo cui nel boxing la responsabilità si divide a metà tra cliente e intermediario. La ricorrente ha contestato di aver mai rivelato il PIN e ha lamentato la carenza di informativa sulle truffe. L’intermediario ha replicato che la truffa era stata perpetrata con social engineering, essendo la cliente stata contattata telefonicamente a proposito del mancato recapito della nuova carta.

La motivazione del Collegio

In via preliminare, il Collegio ha ritenuto di potersi pronunciare nei confronti dell’intermediario costituitosi in luogo del destinatario del ricorso, qualificando la fattispecie come un intervento volontario atipico, affine alla successione a titolo particolare nel diritto controverso, e comunque idoneo a garantire economia procedurale.

Nel merito, le operazioni ricadono sotto il D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della PSD 2. Dalla documentazione il Collegio ha rilevato che la carta è stata attivata tramite ATM e che la prima operazione fraudolenta è avvenuta contestualmente all’attivazione (ore 17:34); che tutte le operazioni sono state autenticate mediante lettura del chip e digitazione del codice PIN; che non è stata richiesta la generazione di un nuovo PIN. L’intermediario ha dunque assolto all’onere della prova ex art. 10, comma 1, D.lgs. n. 11/2010.

Il Collegio ha però distinto: nei casi di boxing non accompagnati da social engineering l’intera responsabilità grava sull’intermediario, per il disposto dell’art. 8, comma 2, D.lgs. n. 11/2010. Solo nel boxing combinato con social engineering può ravvisarsi una responsabilità concorrente del cliente che abbia violato l’obbligo di custodia delle credenziali. Nel caso concreto tale ipotesi è stata ritenuta plausibile: la ricorrente aveva riferito di una telefonata relativa al ritorno della nuova carta per indirizzo errato, e il Collegio ha giudicato più credibile che la conversazione fosse servita a carpire le informazioni necessarie all’utilizzo fraudolento.

La ripartizione non è stata però fissata al 50%. Il Collegio ha ravvisato la violazione di uno degli indici di rischio di frode di cui all’art. 8, D.M. n. 112/2007, in particolare quello della lettera a), n. 2 — tre o più richieste di autorizzazione sulla stessa carta nelle 24 ore presso un medesimo punto vendita — e ha attribuito all’intermediario una responsabilità del 65%. La domanda di rimborso è stata quindi accolta solo parzialmente, con condanna alla restituzione di ulteriori € 500,00.

Quanto alle spese legali, il Collegio ha richiamato la decisione del Collegio di Coordinamento n. 4580/2025: la relativa domanda è ammissibile anche se proposta per la prima volta nel ricorso, ma il cliente deve provare che l’assistenza è stata resa necessaria da un comportamento scorretto o dilatorio dell’intermediario. Nel caso di specie la richiesta era generica e priva di supporto documentale, e non è stata accolta.