Frode informatica con ID caller spoofing e concorso di colpa dell’utente (ABF Collegio di Milano n. 3211 del 10.04.2026)

Principi di diritto (Massima)
In materia di utilizzo fraudolento di carta di credito per pagamenti on line, grava sull’intermediario l’onere di provare l’autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione nonché l’assenza di malfunzionamenti. Accertata la conformità del sistema di autenticazione a due fattori, la condotta colposa dell’utente che abbia comunicato al truffatore i dati della carta non integra di per sé colpa grave ostativa al rimborso. Qualora la frode sia stata agevolata da un’imperfezione nella sicurezza del sistema dell’intermediario, segnatamente in caso di ID caller spoofing, si configura un concorso di colpa che giustifica il riconoscimento di un importo equitativamente determinato. La franchigia di cui all’art. 12, comma 3, d.lgs. n. 11/2010 non si applica agli utilizzi fraudolenti on line, essendo prevista per il furto, lo smarrimento o l’appropriazione indebita dello strumento di pagamento.

Il Fatto

Il ricorrente riferisce di aver ricevuto una telefonata da un numero che il display mostrava come riconducibile all’intermediario emittente della carta. Un sedicente operatore lo avvertiva di un tentativo di frode in corso all’estero per € 160,00 e lo induceva a comunicare i dati della carta, inclusi scadenza e codice di sicurezza, e ad accettare una notifica tramite App, nella convinzione di bloccare l’operazione illecita.

Il ricorrente bloccava poi autonomamente la carta e presentava denuncia. Apprendeva così che era stata eseguita un’operazione fraudolenta di € 2.500,00, mentre una seconda da € 3.000,00 non andava a buon fine. Presentato il disconoscimento e il reclamo, l’intermediario riscontrava negativamente la richiesta di rimborso di € 2.950,00. Di qui il ricorso all’Arbitro.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010 e nel Provvedimento attuativo della Banca d’Italia, soffermandosi sui due passaggi ineludibili sul piano probatorio. Da un lato l’intermediario deve provare l’autenticazione, la corretta registrazione e contabilizzazione delle operazioni disconosciute, precisandosi che la SCA si realizza con almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti. Dall’altro è sempre l’intermediario a dover provare i fatti integranti la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui questi sopporta le conseguenze dell’utilizzo fraudolento.

Il Collegio richiama l’orientamento arbitrale secondo cui il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non rende per ciò solo autorizzata la transazione, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. Resta ferma la valutazione in concreto del dolo o della colpa grave ai sensi dell’art. 12 d.lgs. n. 11/2010.

Nel caso concreto il ricorrente ha comunicato al frodatore i numeri finali della carta, la scadenza e il codice di sicurezza, accettando poi una notifica push. Poiché il concorso causale è parziale, il Collegio passa all’esame del sistema di autenticazione. Dai log prodotti risulta che l’operazione è stata autenticata tramite OTP via SMS (fattore di possesso) e password statica Key 6 (fattore di conoscenza). Il sistema è dunque conforme ai criteri dell’autenticazione a due fattori e l’intermediario ha assolto all’onere probatorio ex art. 8 d.lgs. n. 11/2010, come già affermato dal Collegio di Milano, decisione n. 8294/2022.

Accertata la SCA, il Collegio verifica la colpa dell’utente e l’eventuale concorso dell’intermediario. Ritiene sussistente una condotta colposa del ricorrente nella causazione della frode. Osserva tuttavia che il numero chiamante corrispondeva a un recapito effettivo dell’intermediario per le comunicazioni all’estero: la fattispecie è quindi qualificabile come ID caller spoofing, idonea a tradire l’affidamento del destinatario. Secondo l’orientamento costante dell’Arbitro, richiamato anche dal Collegio di Roma, decisioni n. 10893/2025 e n. 2396/2025, tale truffa costituisce sintomo di un’imperfezione nella sicurezza del sistema e giustifica un concorso di colpa, con riconoscimento equitativo di € 983,00.

Il Collegio respinge infine la richiesta di applicazione della franchigia, prevista dall’art. 12, comma 3, d.lgs. n. 11/2010 solo per furto, smarrimento o appropriazione indebita dello strumento, e non per gli utilizzi fraudolenti on line, richiamando il Collegio di Coordinamento, decisione n. 22745/2019. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di € 983,00, del contributo di € 200,00 alla Banca d’Italia e del rimborso di € 20,00 delle spese di procedura.