Frode informatica e responsabilità concorrente dell’intermediario per omesso monitoraggio delle operazioni anomale (ABF Collegio di Palermo n. 3959 del 05.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate poste in essere mediante tecniche di frode informatica, l’intermediario che abbia correttamente autenticato, registrato e contabilizzato le operazioni con autenticazione forte a due fattori non è per ciò solo esente da responsabilità. Egli è infatti tenuto a fornire prova dell’adozione di un adeguato sistema di monitoraggio delle operazioni anomale. Ove ricorrano gli indici di anomalia tipizzati dall’art. 8 del DM n. 112/2007, e in particolare tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso il medesimo punto vendita, si configura una responsabilità concorrente dell’intermediario nella misura del 20% della somma sottratta. La prova dell’autenticazione formale, di per sé, non soddisfa l’onere probatorio gravante sul prestatore di servizi di pagamento in ordine alla colpa grave dell’utilizzatore.

Il Fatto

Il ricorrente ha riferito di essere rimasto vittima di una truffa mediante la quale sono state eseguite quattro operazioni di pagamento POS, per l’importo complessivo di € 3.000,00, da lui non autorizzate. Il cliente aveva ricevuto un sms apparentemente riconducibile all’intermediario, che lo invitava ad aggiornare i dati del conto tramite un numero telefonico ivi indicato. Contattato il numero, un sedicente operatore lo induceva a fornire i propri dati personali e le credenziali di accesso alla carta di pagamento.

L’intermediario ha contestato le richieste, invocando la correttezza del proprio operato e l’imputabilità dell’accaduto alla esclusiva responsabilità del cliente, ed ha chiesto il rigetto del ricorso. Il cliente ha replicato evidenziando gli indici di anomalia delle operazioni e l’assenza di prova in ordine ai sistemi di monitoraggio e agli alert.

La motivazione del Collegio

Il Collegio ha inquadrato la vicenda nel perimetro del D.Lgs. n. 11/2010, come modificato dal D.Lgs. n. 218/2017 di recepimento della PSD 2. Le fonti della Strong Customer Authentication si rinvengono negli artt. 97 e 98 della direttiva, nell’art. 10-bis del decreto legislativo e nel Regolamento Delegato UE 2018/389.

Secondo l’orientamento del Collegio di Coordinamento (decisione n. 22745/19), la produzione documentale volta a provare l’autenticazione e la regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio. È necessario che l’intermediario indichi specificamente gli elementi di fatto che caratterizzano le modalità esecutive, dai quali possa trarsi la prova presuntiva della colpa grave dell’utente.

Nel caso concreto l’intermediario ha dimostrato che le operazioni erano state eseguite in modalità contactless con inserimento del PIN di esclusiva conoscenza del cliente, che l’enrollment del dispositivo risaliva all’8 gennaio 2024 e che i pagamenti erano stati presieduti da un sistema di autenticazione a due fattori compatibile con la SCA. Dalle dichiarazioni rese dal ricorrente in sede di denuncia emergono peraltro profili di colpa grave, consistenti nell’aver dato credito all’sms, contattato un numero non riconducibile all’intermediario e comunicato le credenziali operative.

Il Collegio ha ritenuto non dirimente l’assenza di un servizio di notifiche alert, poiché le operazioni si sono perfezionate in soli due minuti e, per costante orientamento del Collegio decidente (Coll. ABF Palermo n. 13261/20 e n. 2495/24), non sussiste responsabilità dell’intermediario quando le operazioni disconosciute si esauriscano entro cinque minuti.

Tuttavia, il Collegio ha ravvisato una responsabilità concorrente dell’intermediario, richiamando gli indici di anomalia tipizzati dall’art. 8 del DM n. 112/2007: tre o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore presso il medesimo punto vendita. Da ciò è derivata l’attribuzione di una responsabilità del 20% e l’obbligo di rimborsare € 600,00, oltre interessi legali dalla data del reclamo, con condanna dell’intermediario al contributo di € 200,00 e al rimborso di € 20,00 in favore del ricorrente.