Frodi su carta e wallet: obbligo di blocco alla settima operazione anomala (ABF Collegio di Milano n. 3000 del 02.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate poste in essere mediante carta e wallet, l’intermediario è tenuto a dare prova dell’autenticazione forte e della corretta registrazione e contabilizzazione delle operazioni. Ove risulti integrato un indice di anomalia/rischio frode previsto dal D.M. n. 112/2007, e segnatamente sette o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore, sussiste l’inadempimento dell’obbligo di protezione, che impone il blocco dello strumento di pagamento al momento del compimento della settima operazione. Il danno delle operazioni successive è posto a carico dell’intermediario; quello delle prime sei resta nella sfera del cliente, quando la sua colpa grave nella custodia dello strumento abbia avuto efficacia determinante nella causazione dell’evento.

Il Fatto

Il ricorrente, titolare di due carte, riceveva dall’intermediario una segnalazione relativa al subentro su un altro dispositivo mobile nel proprio internet banking. Contattava quindi il numero verde della banca, ma il sistema gli consentiva soltanto il blocco automatico della carta o del bancomat, senza possibilità di individuare quale dei due strumenti fosse interessato. Solo la mattina successiva riusciva a bloccare la carta coinvolta, rilevando numerosi addebiti.

Il cliente disconosceva le operazioni e chiedeva il rimborso, ipotizzando non una semplice clonazione ma un accesso abusivo all’App, con disabilitazione di notifiche e autorizzazioni a distanza. L’intermediario resisteva, sostenendo l’avvenuta autenticazione forte del collegamento del nuovo dispositivo e l’invio degli sms alert per ciascuna operazione, non recapitati per assenza di credito telefonico; invocava la colpa grave del cliente e, in subordine, la ripartizione del danno ex art. 1227 c.c.

La motivazione del Collegio

Il Collegio delimita anzitutto il petitum. La denuncia indica venticinque operazioni per 1.711,91 euro, ma il modulo di disconoscimento e le controdeduzioni ne individuano ventiquattro per 1.644,55 euro; il ricorso non contiene alcuna indicazione dell’importo complessivo. La domanda si ritiene quindi riferita alle operazioni effettivamente contestate nel modulo.

Nel merito, i log informatici prodotti dall’intermediario dimostrano che le operazioni sono state autenticate tramite token virtuale collegato al Wallet, quale fattore di possesso, e validate con lo sblocco del nuovo dispositivo, quale fattore di conoscenza. L’autenticazione forte risulta pertanto correttamente eseguita.

Il Collegio passa poi alla condotta delle parti. Il ricorrente circostanzia in modo molto sommario la truffa subita e non produce evidenze a sostegno della propria ricostruzione. Su questo fronte la doglianza non trova riscontro documentale.

Assume invece rilievo autonomo il profilo oggettivo del D.M. n. 112/2007. Dagli atti emerge l’indice di anomalia costituito da sette o più richieste di autorizzazione sulla stessa carta nelle ventiquattro ore, ai sensi dell’art. 8, lett. b, punto 1. Da ciò il Collegio desume l’inadempimento dell’obbligo di protezione, che si estrinseca nel blocco dello strumento di pagamento al momento del compimento della settima operazione.

La conseguenza è una ripartizione del pregiudizio. Il danno delle operazioni successive alla settima resta a carico dell’intermediario; quello delle prime sei rimane nella sfera giuridica del ricorrente, per l’efficacia determinante della sua colpa grave nella custodia dello strumento. Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario al pagamento di 962,00 euro, oltre al rimborso di 20,00 euro e al contributo di 200,00 euro a favore della Banca d’Italia.