Frode da social engineering e SMS alert: responsabilità concorrente dell’intermediario (ABF Collegio di Napoli n. 3509 del 21.04.2026)

Principi di diritto (Massima)
Quando il pagatore esegue personalmente l’operazione, inserendo la disposizione di pagamento e tutti i fattori di autenticazione, il pagamento deve considerarsi autorizzato e non ricade nel regime di responsabilità della direttiva PSD2. Resta tuttavia configurabile una responsabilità concorrente del prestatore di servizi di pagamento quando la condotta del cliente, improntata a colpa grave, si sommi a una carenza organizzativa dell’intermediario. La mancata attivazione del servizio di sms alert costituisce onere gravante direttamente sull’intermediario, a prescindere dalla richiesta del cliente, e integra una grave carenza organizzativa. Il danno che un sistema di alert avrebbe consentito di evitare è posto a carico dell’intermediario nei limiti dell’art. 1227 c.c.

Il Fatto

Una società chiedeva l’upgrade di un volo sul sito di una compagnia aerea. Non ricevendo risposta, seguiva il link “Connettiti a noi” e approdava alla pagina Facebook ufficiale della compagnia, da cui veniva reindirizzata su Messenger e poi su WhatsApp. Sedicenti operatori si facevano comunicare i dati della carta con il pretesto di verificare l’identità della cliente ed eseguivano cinque pagamenti online, per complessivi € 1.128,97, verso operatori esteri di money transfer.

La ricorrente contestava l’assenza di una prova sulla autenticazione forte e l’insufficienza dei sistemi antifrode, chiedendo il rimborso integrale. La banca eccepiva che le operazioni erano state autenticate con riconoscimento biometrico, che il cliente aveva comunicato i dati via WhatsApp e che aveva bloccato la carta solo il 4 agosto 2025, oltre un mese dopo i fatti.

La motivazione del Collegio

Il Collegio ricostruisce la fattispecie come cinque pagamenti online eseguiti tra il 30 giugno e l’1 luglio 2025 con carta aziendale emessa da altro intermediario e gestita dalla resistente. Dalla documentazione e dalle dichiarazioni della ricorrente emerge che quest’ultima eseguiva personalmente le transazioni: per questo le operazioni sono autorizzate e sottratte al regime di responsabilità della PSD2. Il Collegio richiama l’orientamento dei Collegi secondo cui, a fronte di un apporto del pagatore, occorre valutare se l’operazione sia comunque autorizzata e se sia configurabile una responsabilità concorrente del prestatore in relazione alle circostanze concrete.

La resistente prova l’autenticazione a due fattori con riconoscimento biometrico, la certificazione del dispositivo e l’abilitazione risalenti al 2 settembre 2024. Il Collegio rileva però alcune frizioni probatorie: il dispositivo è identificato come IPhone senza altri dettagli e gli sms otp di certificazione risultano inviati a un numero diverso da quello indicato nella denuncia. I log delle singole operazioni attestano l’autenticazione 3DS 2.2.0 con esito “Y-titolare autenticato”, l’uso del fattore biometrico e l’invio di notifiche push con importo ed esercente.

Sul versante degli indici di anomalia, il Collegio esclude che ricorra la soglia dell’art. 8, d.m. n. 112 del 2007: delle tre operazioni eseguite entro ventiquattro ore, solo due riguardavano lo stesso punto vendita. Non emergono ulteriori indici di frode rispetto alla storicità delle movimentazioni.

Il punto decisivo è però un altro: manca la prova dell’attivazione del servizio di sms alert. Secondo l’orientamento consolidato richiamato dal Collegio — Collegio di Coordinamento n. 24366 del 2019 e n. 243 del 2019, con i richiami ai Collegi territoriali — si tratta di misura di sicurezza che l’intermediario non può limitarsi a proporre, ma deve adottare in modo generalizzato. Poiché tra la prima e la seconda operazione intercorrevano sei minuti e la terza seguiva tre ore dopo, un sistema di alert avrebbe potuto impedire le operazioni dalla terza in poi, per € 614,98.

Il Collegio ravvisa poi colpa grave della ricorrente: comunicava i dati della carta a soggetti ignoti, proseguiva la conversazione su messaggistica privata e bloccava la carta solo il 4 agosto 2025. Accerta quindi la responsabilità concorrente ex art. 1227 c.c. e, in parziale accoglimento, riconosce il diritto alla restituzione di € 615,00, oltre al contributo di € 200,00 per la procedura e al rimborso di € 20,00.