Carta clonata, rubata o usata da altri: quando la banca deve rimborsarti le spese che non hai fatto

Le decisioni del sito non sono uniformi. Per un Collegio il furto in un luogo pubblico o aperto al pubblico integra di regola colpa grave, perché lì la soglia di attenzione deve alzarsi; la presunzione si supera solo provando circostanze concrete, compresa la dinamica della frode e la custodia separata del PIN (ABF Milano 4594/2026). Anche il furto su un mezzo pubblico, luogo esposto a reati per la promiscuità, impone misure di protezione rafforzate (ABF Roma 2759/2026).

Per altre decisioni il furto con destrezza, commesso con artifici e raggiri, consente di escludere la colpa grave quando la carta non esce dalla sfera di controllo del titolare: la banca rimborsa le somme prelevate, dedotta la franchigia di legge (ABF Roma 230/2026). E la prima operazione eseguita dal ladro subito dopo il furto non è imputabile a colpa grave e va rimborsata per intero, salvo che il titolare si fosse già accorto della sottrazione (ABF Roma 4501/2026).

Qui le decisioni divergono. Per un orientamento che una decisione definisce consolidato, la colpa grave si presume quando il PIN è custodito con la carta e il brevissimo tempo tra furto e primo prelievo rivela che il codice è stato digitato al primo tentativo (ABF Napoli 4416/2026). La vicinanza nel tempo, il PIN digitato senza errori e l’assenza di anomalie sono stati letti come indizi della custodia congiunta di carta e codice (ABF Roma 2759/2026, ABF Roma 1079/2026, ABF Bologna 1668/2026, ABF Milano 8194/2026), e il PIN tenuto separato non esclude la colpa grave se modalità del furto e rapidità delle operazioni fanno presumere che fosse facile da trovare (ABF Milano 4001/2026).

Per un’altra decisione, invece, la lettura del microchip e la digitazione del PIN provano l’autenticazione ma non trasformano la rapidità dei prelievi dopo il furto in una presunzione di colpa grave: la banca deve provare un contegno abnorme e inescusabile del cliente, valutato su tutte le circostanze del caso (ABF Milano 4345/2026).

Il ritardo pesa. Non bloccare subito la carta dopo essersi accorti che manca integra negligenza grave (ABF Torino 4433/2026), e la colpa grave può desumersi dal ritardo nel blocco quando lo smarrimento era percepibile (ABF Milano 4004/2026). Se hai ricevuto l’SMS alert e non hai bloccato la carta, l’inerzia integra colpa grave per le operazioni successive (ABF Roma 4501/2026).

In un altro caso il ritardo è stato trattato come concorso di colpa, limitato alle operazioni che un blocco tempestivo avrebbe evitato (ABF Milano 5167/2026).

Sì, se non ha fatto la sua parte nel monitoraggio. Con più autorizzazioni sulla stessa carta nelle 24 ore o presso lo stesso punto vendita, la banca che non attiva i presidi concorre nella perdita (ABF Milano 4001/2026); con tre o più richieste nelle 24 ore presso lo stesso esercente, la banca che non blocca la carta risponde del danno relativo alla terza operazione (ABF Milano 2998/2026). Sette o più richieste nelle 24 ore sono un indice di frode del d.m. 112/2007: la banca che non interviene risponde delle operazioni oltre la sesta (ABF Bologna 1600/2026). Il difetto di monitoraggio attenua la colpa del cliente in un concorso di colpa (ABF Bologna 4514/2026).

Lo stesso vale per l’SMS alert. Non attivarlo è un profilo di responsabilità della banca, salvo rifiuto esplicito del cliente: il rimborso è stato integrale per le operazioni che l’alert avrebbe impedito e a metà per le altre (ABF Napoli 4187/2026). Senza prova dell’alert un Collegio ha disposto il rimborso integrale delle operazioni eseguite oltre cinque minuti dalla prima e del 20% di quelle entro i cinque minuti (ABF Palermo 1780/2026); per un altro la banca risponde delle operazioni successive alla prima se non prova di aver attivato l’alert e avvisato il cliente (ABF Bologna 1668/2026). Nessuna norma impone però che il servizio sia gratuito (ABF Milano 8201/2026).

Da solo no. La banca che non prova nei log l’autenticazione forte deve rimborsare, senza che conti la tua condotta, e la mancata evidenza della digitazione del PIN nei prelievi non soddisfa i requisiti dell’autenticazione (ABF Milano 8194/2026). Per i prelievi senza carta (cardless) la correttezza formale dell’autenticazione non basta a ricondurre l’operazione al titolare, che deve soltanto disconoscerla (ABF Bari 2321/2026).

Provata l’autenticazione, la banca deve ancora indicare gli elementi di fatto da cui presumere la tua colpa grave (ABF Napoli 4682/2026, ABF Bari 2801/2026); e il mancato invio degli SMS alert ha concorso a ridurre la responsabilità del cliente (ABF Bari 2801/2026).

È la tecnica del lebanese loop, e per il sito esclude la colpa grave del cliente, che non può opporsi alla manomissione dello sportello e alla captazione del PIN durante l’uso legittimo della carta. Resta valutabile il ritardo nel bloccarla, come concorso di colpa per le operazioni che un blocco tempestivo avrebbe evitato; le operazioni contactless fatte in esenzione dalla SCA sono interamente a carico della banca (ABF Milano 5167/2026).

In un caso di questo tipo (la truffa detta boxing, associata al social engineering) un Collegio ha escluso che bastassero la lettura del microchip e la digitazione del PIN per esonerare la banca. Ha ricordato che i rischi della spedizione della carta o delle sue credenziali sono a carico della banca (art. 8, comma 2, d.lgs. 11/2010) e che la mancata attivazione dell’SMS alert è un suo profilo di responsabilità: rimborso integrale delle operazioni che l’alert avrebbe impedito, a metà per le altre, se la condotta del cliente non è gravemente colposa (ABF Napoli 4187/2026).

Diverso il caso di chi, vittima di uno schema truffaldino noto e riconoscibile con l’ordinaria diligenza, comunica ai sedicenti operatori i dati della carta e il PIN: lì la colpa grave è stata ravvisata (ABF Milano 4335/2026).

No: il prelievo “smart” eseguito per intero da te, con tutti i fattori di autenticazione, è un’operazione autorizzata anche se il consenso è viziato dall’inganno, e la banca non deve rimborsarlo (ABF Milano 8279/2026). Nelle ricariche ripetute allo sportello indotte da un raggiro, però, la banca che non rileva gli indici di frode risponde delle operazioni oltre la sesta richiesta nelle 24 ore (ABF Bologna 1600/2026).

La prova dell’autenticazione con chip e PIN, senza malfunzionamenti, assolve l’onere della banca; chi invoca la clonazione deve allegarla e provarla (ABF Roma 2045/2026), con una ricostruzione dei fatti (ABF Milano 5313/2026).

Un caso deciso dal sito mostra come si prova: la stessa carta usata dal cliente in un Paese e, nell’arco di sessanta minuti, in un altro Stato. Due richieste di autorizzazione contestuali da Stati diversi integrano gli indici di anomalia del d.m. 112/2007, fanno ritenere provata la clonazione e la banca rimborsa (ABF Milano 148/2026).

Se l’autenticazione passa da una notifica push, la banca deve dimostrare anche che il telefono che l’ha ricevuta era davvero nella tua disponibilità: altrimenti il fattore di possesso non è provato e risponde delle operazioni (ABF Milano 4542/2026).

La banca deve provare l’autenticazione forte in ciascuna fase: attivazione dell’app, inserimento della carta nel wallet, aumento dei massimali e singole operazioni, e il fatto che il wallet sia gestito da un altro operatore non la esonera. Se la prova manca anche solo in parte, rimborsa per intero, senza franchigia (ABF Milano 3109/2026). Il solo invio di un OTP non è un’autenticazione a due fattori se manca la prova del fattore di conoscenza usato per l’accesso (ABF Bologna 1322/2026), e per caricare la carta in un wallet di terzi non bastano i dati statici della carta (ABF Roma 1368/2026).

La prova deve riguardare anche i pagamenti, non solo l’inserimento nel wallet; lo sblocco del telefono o il riconoscimento biometrico valgono come secondo fattore solo se associati a te in modo univoco al momento della tokenizzazione, con una procedura conforme (ABF Bologna 2926/2026).

Se invece, contattato da un sedicente operatore, hai chiamato un numero non ufficiale, comunicato i codici e autorizzato un nuovo token, è colpa grave (ABF Milano 1985/2026).

Valgono le regole dei pagamenti non autorizzati: la banca prova l’autenticazione forte, poi si valuta l’eventuale colpa grave (le regole sono nella guida sul conto svuotato). Il tuo concorso solo parziale nella fase dispositiva o autorizzativa non basta a rendere autorizzata l’operazione (ABF Milano 2998/2026). Se però hai inserito i dati della carta su un sito clone raggiunto tramite un link, la colpa grave è stata ravvisata (ABF Milano 3993/2026).

Il pagamento che hai autorizzato tu, anche se indotto da un raggiro, non è un’operazione non autorizzata (ABF Napoli 3050/2026, ABF Roma 2675/2026). Resta il chargeback, che però è una tutela contrattuale: richiede una norma, una clausola del contratto quadro o una fonte sublegale che lo preveda, e non basta la lite con il venditore (ABF Bologna 122/2026). Devi documentare l’acquisto, le comunicazioni con il venditore e i pagamenti (ABF Milano 1698/2026).

Nei pagamenti MO/TO, senza la carta fisica, il rischio di frode è dell’esercente che li accetta: non può essere trasferito su di te né sull’emittente, e lo storno è legittimo se l’esercente non documenta come ha ricevuto i dati della carta e la tua autorizzazione all’addebito (ABF Napoli 4683/2026). Se il pagamento MO/TO è avvenuto senza alcuna autenticazione del titolare e l’esercente non prova il mandato di pagamento, lo storno è legittimo (ABF Roma 4239/2026).

Le operazioni contactless eseguite in esenzione dalla SCA sono state imputate per intero alla banca (ABF Milano 5167/2026). Nel card relay attack, che capta il segnale NFC della carta e lo trasmette in tempo reale a un dispositivo anche lontano, il cliente è particolarmente vulnerabile: anche con operazioni correttamente autenticate la frode non si spiega con la sola colpa grave del titolare, la banca ha un dovere di protezione rafforzato e la perdita è stata divisa in parti uguali (ABF Napoli 4414/2026). La colpa grave del cliente non elimina la responsabilità autonoma della banca che non attiva i presidi di sicurezza davanti a indici di rischio frode (ABF Milano 4204/2026).

Non in base alla disciplina dei pagamenti non autorizzati: se hai inserito tu la carta e digitato il PIN, l’operazione è autorizzata anche se l’esercente ti ha ingannato sull’importo, e non occorre verificare autenticazione forte o colpa grave (ABF Palermo 4363/2026, ABF Napoli 2206/2026). All’estero, digitare il PIN davanti all’esercente in un pagamento occasionale è stato giudicato colpa grave per omessa vigilanza sulle credenziali (ABF Milano 551/2026).

All’emittente. Il mero collocatore, che si limita a consegnare la carta e a tenere il conto su cui si regolano le operazioni, non è il soggetto da chiamare in causa: la legittimazione spetta a chi ha con te un rapporto negoziale qualificato, e per capirlo si guarda al contratto, a partire da chi gestisce reclami e contestazioni (ABF Milano 4717/2026, ABF Roma 4031/2026). Se l’eccezione della banca è fondata, il merito della domanda non viene nemmeno esaminato (ABF Roma 4031/2026).

Se invece la banca ha emesso e collocato la carta e tiene il conto, risponde lei e non il fornitore di servizi del circuito, contro cui il ricorso è inammissibile (ABF Bologna 1138/2026). Il modulo di disconoscimento compilato e inviato vale come reclamo (ABF Roma 4031/2026); il resto della procedura è nella guida al ricorso all’Arbitro Bancario Finanziario.