Pagamento online autenticato e truffa del venditore escludono rimborso del PSP (ABF Collegio di Bologna n. 118 del 12.01.2026)

Principi di diritto (Massima)
Qualora l’operazione di pagamento sia eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime speciale di responsabilità previsto dalla PSD2. In tal caso non è configurabile una responsabilità oggettiva del prestatore di servizi di pagamento. Resta possibile una responsabilità concorrente del PSP secondo le norme di diritto comune, ma solo quando dalla documentazione emerga un concreto apporto causale dell’intermediario alla frode. Le contestazioni relative al rapporto sottostante con l’apparente venditore non possono essere rivolte al prestatore di servizi di pagamento, estraneo a quel rapporto.

Il Fatto

La ricorrente aveva acquistato con la propria carta di credito due biglietti per un concerto su una piattaforma di vendita online, per un importo di € 420,00. Nel corso della transazione veniva reindirizzata su un diverso sito, risultato poi fraudolento, e perfezionava l’acquisto su quella pagina. Non ricevuti i biglietti e resosi irreperibile il venditore, contattava il servizio clienti dell’intermediario, che bloccava la carta e la invitava ad aprire una contestazione per merce non conforme.

La ricorrente chiedeva quindi il rimborso della somma. L’intermediario eccepiva l’inapplicabilità della disciplina del d.lgs. n. 11/2010, l’esecuzione personale dell’operazione con autenticazione forte a tre fattori e l’estraneità della pretesa al rapporto di pagamento, chiedendo in via subordinata la riduzione del risarcimento ex art. 1227, comma 1, c.c.

La motivazione del Collegio

Il Collegio muove da un dato pacifico tra le parti: l’operazione è stata eseguita personalmente dalla ricorrente. I log prodotti dall’intermediario dimostrano che il pagamento è stato autenticato mediante il fattore biometrico, sullo smartphone certificato della cliente, senza evidenze di associazione di un nuovo dispositivo al conto.

Da qui la conseguenza giuridica. Secondo l’orientamento consolidato, quando l’operazione è compiuta per intero dal pagatore, con disposizione e tutti i fattori di autenticazione, essa è autorizzata e sfugge al regime speciale della PSD2: non è configurabile una responsabilità oggettiva del PSP. Il Collegio ammette tuttavia una responsabilità concorrente di diritto comune, quando la documentazione mostri un apporto causale dell’intermediario alla frode, come nei casi di indisponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente o mancato rilievo di indici di frode. Tali principi sono richiamati come ribaditi dal Collegio di Coordinamento nella decisione n. 8671/2024.

Passando alla dinamica della truffa, il Collegio qualifica la vicenda come un iniziale smishing, perfezionato con la tecnica del c.d. social hacking: una truffa fondata su istruzioni manipolative impartite al titolare, che dispone e autentica personalmente i pagamenti. Gli screenshot allegati mostrano messaggi apparentemente inviati da un privato intenzionato a rivendere i biglietti, con un link su cui la ricorrente ha cliccato.

Nel caso concreto, però, non emerge alcuna colpa dell’intermediario. Le contestazioni non riguardano l’operazione di pagamento in sé, ma il rapporto sottostante con l’apparente venditore, rispetto al quale il PSP è estraneo. La ricorrente, inoltre, non chiarisce la dinamica dei fatti, non versando evidenze sui due siti internet sui quali ha iniziato e completato l’acquisto. Il ricorso è pertanto non meritevole di accoglimento.