Frode carta debito: SCA e colpa grave dell’utilizzatore escludono il rimborso (ABF Collegio di Milano n. 4334 del 13.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, grava sull’intermediario la prova dell’autenticazione, della corretta registrazione e contabilizzazione delle operazioni, nonché della scrupolosa osservanza della strong customer authentication e della predisposizione di congegni di alert. Provata la SCA mediante il ricorso ad almeno due fattori indipendenti tra conoscenza, inerenza e possesso, l’utilizzatore risponde delle conseguenze dell’utilizzo fraudolento solo se abbia agito con dolo o colpa grave ai sensi dell’art. 12 d.lgs. n. 11/2010. Integra colpa grave la condotta di chi consegni la carta integra e il relativo codice segreto a un sedicente corriere, sulla base di comunicazioni provenienti da utenze estranee e palesemente anomale. L’accertata assenza di responsabilità concorrente dell’intermediario, che abbia inviato le notifiche di alert e disposto il blocco dello strumento immediatamente dopo le operazioni, preclude il rimborso.

Il Fatto

La ricorrente, titolare di un conto corrente, di una carta di debito e del servizio di banca multicanale, riferisce di essere stata vittima di una frode sofisticata ordita da soggetti qualificatisi come operatori del centro antifrode dell’intermediario. Secondo la prospettazione, i malfattori avrebbero inviato SMS e notifiche push, dimostrando di conoscere i dati personali e bancari della cliente, e l’avrebbero indotta a consegnare la carta a un falso corriere. La ricorrente lamenta di non aver autorizzato i prelievi, di aver subito lo storno di un rimborso iniziale di € 4.000,00 e di non aver potuto contestare un ulteriore prelievo di € 5.000,00. Chiede quindi il rimborso complessivo di € 9.000,00 e l’ordine all’intermediario di adottare ogni misura di tutela per sé e per gli altri clienti vittime di attacchi di social engineering.

L’intermediario ricostruisce i fatti e riferisce che le operazioni contestate sono tre prelievi eseguiti il 23/09/2025, con carta fisica e PIN corretto al primo tentativo, il primo dei quali autorizzato anche tramite SMS OTP. Sostiene che la cliente abbia dato credito a comunicazioni fraudolente e abbia consegnato lo strumento integro e il codice segreto a un sedicente corriere, violando gli obblighi di custodia. Chiede pertanto il rigetto del ricorso.

La motivazione del Collegio

In via preliminare il Collegio esamina la domanda con cui si chiede l’adozione di “ogni misura necessaria alla tutela” della ricorrente e degli altri clienti. Le Disposizioni sui sistemi di risoluzione stragiudiziale circoscrivono la competenza dell’ABF all’accertamento di diritti, obblighi e facoltà, con esclusione delle pronunce di carattere costitutivo e delle domande aventi ad oggetto un facere infungibile, secondo l’orientamento confermato da Collegio di Milano n. 15195/2022. La domanda è pertanto dichiarata inammissibile.

Nel merito, il Collegio richiama i principi del d.lgs. n. 11/2010: è l’intermediario a dover provare l’autenticazione e la corretta contabilizzazione delle operazioni, nonché i fatti idonei a integrare la colpa grave dell’utilizzatore. La SCA richiede almeno due dei tre fattori — conoscenza, inerenza e possesso — reciprocamente indipendenti e appartenenti a categorie diverse, e deve essere osservata sia in fase di accesso sia in fase di esecuzione delle singole operazioni. La negligenza del cliente rileva solo se l’intermediario abbia fornito prova piena della scrupolosa osservanza del sistema e della predisposizione di congegni di alert. Il concorso causale parziale dell’utente, come l’inserimento di uno solo dei fattori, non rende per ciò solo autorizzata la transazione.

Applicando tali principi, il Collegio verifica l’autenticazione delle tre operazioni. Per il prelievo di € 5.000,00 risultano il corretto inserimento del PIN, la lettura del CHIP e l’invio dell’SMS OTP; per i prelievi di € 2.500,00 e € 1.500,00 il PIN e la lettura del CHIP. Tutte le operazioni risultano dunque autenticate mediante i fattori del possesso e della conoscenza. Anche l’innalzamento dei massimali della carta è avvenuto con corretta esecuzione della SCA, mediante elementi di inerenza e di possesso.

Accertata la SCA, il Collegio valuta la colpa grave della ricorrente. Questa ha ricevuto tre chiamate da un numero fisso non riconducibile all’intermediario e segnalato sul web come fraudolento, ha autorizzato notifiche push per una presunta procedura di sicurezza e ha collocato il bancomat integro in una busta nella cassetta della pubblicità del palazzo, senza tagliarlo, affinché fosse ritirato da un sedicente corriere. Gli SMS presentavano anomalie evidenti. Tale condotta ha consentito il primo prelievo, autorizzato con OTP correttamente inserito.

Quanto alla responsabilità concorrente dell’intermediario, il Collegio rileva che il blocco della carta è stato disposto alle ore 15:59, solo quattro minuti dopo l’ultimo prelievo, e che risultano inviate le notifiche push di alert per tutte e tre le operazioni. Non ravvisata alcuna responsabilità dell’intermediario, il ricorso è non accolto.