Frode contactless con card relay attack e dovere di protezione rafforzato dell’intermediario (ABF Collegio di Napoli n. 4414 del 14.05.2026)

Principi di diritto (Massima)
Nelle frodi sui pagamenti contactless realizzate mediante card relay attack, con captazione del segnale NFC e trasmissione in tempo reale a un dispositivo collocato anche a grande distanza, il cliente è particolarmente vulnerabile. Anche quando le operazioni risultano correttamente autenticate secondo la disciplina dell’autenticazione forte, il compimento della frode non è spiegabile con la sola colpa grave del titolare. Sull’intermediario grava pertanto un dovere di protezione rafforzato, in ragione del quale la perdita economica va ripartita tra le parti in misura eguale.

Il Fatto

La ricorrente riferisce di aver ricevuto un sms apparentemente proveniente dall’intermediario e di aver avuto, a seguire, una interlocuzione telefonica con persona che si presentava come incardinata nella struttura dell’intermediario. All’esito di tale contatto si avvedeva dell’addebito sul proprio conto di due operazioni di pagamento, per un importo complessivo di euro 3.680,78, che prontamente disconosceva.

La cliente lamenta l’assenza di adeguati presidi di sicurezza e chiede il rimborso. L’intermediario resiste, rilevando che le operazioni sono state disposte personalmente dalla ricorrente all’esito dell’interlocuzione con i truffatori, che risultano correttamente autenticate e documentate, ed esclude un obbligo di monitoraggio così incisivo da impedire pagamenti regolarmente ordinati dal cliente.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto la dinamica. Le due operazioni, di importo pari a euro 1.816,77 ciascuna, sono state eseguite il 3 dicembre 2025 in modalità contactless in Egitto, a un minuto di distanza l’una dall’altra. L’apparente incongruenza tra l’orario dei pagamenti e quello del blocco della carta è spiegata dalla differenza di fuso orario, cosicché le operazioni risultano concluse poco prima del blocco. La certificazione del dispositivo, avvenuta alle 22:35, è successiva ai fatti e priva di rilievo causale.

Le operazioni sono state effettuate con lettura della carta, elemento di possesso, e digitazione del codice pin, elemento di conoscenza. La carta, tuttavia, è sempre rimasta in possesso della ricorrente. Lo schema di frode ricostruito dall’intermediario è quello del card relay attack: previa installazione di una app malevola mediante social engineering, il traffico NFC viene deviato dalla carta a un altro dispositivo in possesso dei truffatori, che così eseguono pagamenti POS come se avessero lo strumento di pagamento.

Su queste basi il Collegio ritiene che le evidenze dell’intermediario attestino la corretta autenticazione delle operazioni in conformità alla disciplina dell’autenticazione forte. Nondimeno, la ricorrente è stata vittima di una frode particolarmente sofisticata e tecnologicamente avanzata, a fronte della quale è obiettivamente difficile ritenere che il compimento delle operazioni sia spiegabile unicamente con la colpa grave della cliente. È indicativa la circostanza che la carta sia sempre rimasta fisicamente nelle mani della ricorrente e che i malfattori abbiano comunque potuto effettuare i pagamenti contactless.

Da ciò il Collegio fa discendere, in capo all’intermediario, un dovere di protezione rafforzato verso il cliente particolarmente vulnerabile. Assume rilievo, in tal senso, il luogo di compimento delle operazioni, l’Egitto, che connota in termini di anomalia i due pagamenti. Il Collegio ravvisa quindi l’esigenza di ripartire la perdita in parti eguali tra i contendenti e, in parziale accoglimento del ricorso, accerta il diritto alla restituzione di euro 1.840,00 oltre interessi legali dalla data del reclamo, con condanna dell’intermediario al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.