Frode informatica su carta di debito e obblighi di monitoraggio dell’intermediario (ABF Collegio di Milano n. 1234 del 11.02.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento, la circostanza che le operazioni risultino conformi alla strong customer authentication costituisce un prius logico della valutazione sulla colpa grave dell’utilizzatore, ma non esaurisce il giudizio sulla condotta del prestatore di servizi di pagamento. Gli indici di frode previsti dal D.M. n. 112/2017, pur privi di valore precettivo diretto in materia di disconoscimento di operazioni non autorizzate, esprimono un generale obbligo di monitoraggio e vanno valorizzati quando l’operatività contestata si discosti dalle movimentazioni storiche del cliente per numero, tipologia, importo, tempi di esecuzione o riconducibilità delle operazioni. Integrati tali indici, l’intermediario risponde della mancata rilevazione della frode, con diritto del cliente alla ripetizione del controvalore dei pagamenti eccedenti la soglia di anomalia.

Il Fatto

La ricorrente, ultrasettantenne, riceveva un messaggio che simulava un allarme dell’intermediario relativo a un bonifico in corso e invitava a contattare un’utenza telefonica per bloccarlo. Messasi in contatto con il sedicente operatore, che si qualificava come appartenente alla polizia postale, la cliente avviava una videochiamata nel corso della quale inquadrava la carta e comunicava le credenziali di accesso all’app dell’intermediario. In pochi minuti venivano eseguiti dieci pagamenti tramite POS contactless in un esercizio di Napoli, per complessivi € 4.667,80.

La ricorrente chiedeva il rimborso, lamentando che l’app, dotata di geolocalizzazione, avrebbe dovuto bloccare le operazioni, essendo il telefono a Vicenza, e che l’intermediario non aveva attivato alcun presidio nonostante la rapida successione di importi identici. L’intermediario eccepiva la colpa grave della cliente, caduta in un raggiro non complesso, e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della PSD2, soffermandosi sugli obblighi speculari di utilizzatore e prestatore dei servizi di pagamento. Richiama gli artt. 97 e 98 della direttiva 2015/2366/UE e l’art. 10-bis del d. lgs. n. 11/2010, oltre al Regolamento Delegato UE 2018/389, per individuare i tre fattori indipendenti su cui si fonda l’autenticazione forte: conoscenza, inerenza e possesso.

Dalla documentazione emerge che la carta era attiva ed enrollata all’utenza della cliente in epoca antecedente e che le operazioni sono state eseguite con lettura contactless della carta e corretto inserimento del PIN. La conformità alla SCA è dunque accertata. Il Collegio precisa, però, che la prova di autenticazione costituisce solo il presupposto logico del giudizio sulla colpa grave, come già affermato dal Collegio coordinamento con la decisione n. 22745/2019.

Sul punto il ragionamento è articolato. La ricostruzione della truffa come card relay attack è solo parzialmente sovrapponibile agli accadimenti: la cliente non ha riferito di aver scaricato un’applicazione, il messaggio civetta non conteneva link, la carta è rimasta sempre in suo possesso e non è chiaro come il PIN sia stato carpito. La condotta della ricorrente presenta quindi profili di colpa.

Il Collegio sposta allora l’analisi sulla posizione dell’intermediario. Gli indicatori del D.M. n. 112/2017 — in particolare l’art. 8, che configura il rischio di frode in presenza di tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso un medesimo punto vendita o di sette o più richieste nelle ventiquattro ore per la stessa carta — non hanno valore precettivo diretto, ma esprimono un generale obbligo di monitoraggio. Nel caso concreto risultano eseguite o tentate otto operazioni presso un merchant e quattro verso altro merchant in pochi minuti, con importi identici: gli indici di frode sono integrati.

Il ricorso è pertanto accolto parzialmente, con riconoscimento del diritto alla ripetizione del controvalore dei pagamenti a partire dal terzo e condanna dell’intermediario al pagamento di € 3.698,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 per la presentazione del ricorso.