Frode informatica su carta prepagata: colpa grave del cliente e responsabilità dell’intermediario (ABF Collegio di Milano n. 3206 del 10.04.2026)

Principi di diritto (Massima)
In tema di carte di pagamento, l’onere della prova dell’autenticazione forte, corretta registrazione e contabilizzazione delle operazioni contestate grava sull’intermediario; soltanto in via successiva questi può dimostrare il dolo o la colpa grave dell’utilizzatore. La circostanza che il cliente abbia subito una truffa di tipo smishing misto a vishing e abbia installato un’applicazione malevola su indicazione di soggetti sconosciuti integra colpa grave, sempre che non ricorrano gli estremi dello spoofing. Ciò nondimeno, l’intermediario è tenuto a sistemi adeguati di monitoraggio delle frodi: il verificarsi di un indice di anomalia previsto dall’art. 8 del D.M. n. 112/2007 impone una valutazione della diligenza tecnica del prestatore e, in caso di omesso intervento di blocco o segnalazione, una ripartizione della responsabilità secondo un giudizio sintetico, avente a base l’intero ammontare delle operazioni disconosciute.

Il Fatto

Il ricorrente veniva contattato, il 13.11.2025, da un soggetto qualificatosi come operatore dell’intermediario e indotto, tramite una seconda chiamata e un file APK ricevuto su WhatsApp, a installare una nuova applicazione su un dispositivo Android. Insospettito, verificava la propria posizione contabile e riscontrava due giroconti da una carta libretto verso una carta prepagata — entrambe a lui intestate — e quattro pagamenti in uscita verso il medesimo beneficiario, per complessivi € 4.007,70. Bloccava le carte, presentava denuncia e reclamo, riscontrato negativamente.

Con il ricorso ha chiesto il rimborso integrale delle operazioni disconosciute. L’istituto di pagamento ha ricondotto la vicenda a un Card Relay Attack, sostenendo la corretta autenticazione delle operazioni e la colpa grave del cliente per aver verosimilmente comunicato il PIN ai frodatori.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della direttiva PSD2, richiamando l’art. 10, comma 2 e l’art. 10-bis in materia di autenticazione forte (SCA), oltre agli artt. 97 e 98 PSD2 e al Regolamento Delegato UE n. 2018/389.

Sul piano probatorio, l’intermediario ha prodotto log da cui emerge che ciascun pagamento è stato autenticato con la combinazione di lettura contactless della carta (fattore di possesso) e corretto inserimento del PIN (fattore di conoscenza), con action code “0”. Ha inoltre dimostrato che il ricorrente aveva recuperato il PIN tramite l’applicazione autentica, nel medesimo frangente temporale della conversazione con i frodatori e dallo stesso device sul quale erano poi arrivate le notifiche push. L’autenticazione forte e la corretta registrazione risultano quindi provate.

Quanto ai giroconti, il Collegio richiama il Collegio di Coordinamento, decisione n. 8671 del 23.07.2024: i pagamenti tra conti dello stesso titolare presso il medesimo intermediario possono essere sottratti all’obbligo di SCA ai sensi dell’art. 15 del Regolamento Delegato UE n. 2018/389, anche quando costituiscano la provvista di successive operazioni fraudolente. Poiché i giroconti non erano contestati, l’analisi si concentra sulle quattro transazioni.

Il Collegio esclude lo spoofing, non ravvisando alcun legittimo affidamento sulla genuinità dei contatti, e conferma l’orientamento secondo cui versa in colpa grave l’utente che installi un’applicazione malevola su istruzioni di terzi. Passa quindi a valutare la condotta dell’intermediario: rileva che le tre operazioni delle ore 11:21, 11:28 e 11:29, eseguite in otto minuti presso il medesimo esercente, integrano l’indice di anomalia dell’art. 8, lett. a), punto 2, del D.M. n. 112/2007, pur privo di valore precettivo diretto.

A fronte di un rischio oggettivamente elevato non è stato attivato alcun blocco automatico né alcuna segnalazione. Il Collegio accoglie perciò parzialmente il ricorso e dispone il rimborso delle ultime due operazioni, di € 50,00 e € 207,70, per complessivi € 258,00, oltre al contributo di € 200,00 in favore della Banca d’Italia e al rimborso di € 20,00.