Phishing e card relay attack (ABF Collegio di Bologna n. 1616 del 23.02.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’art. 10, primo comma, d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento la prova dell’autenticazione, della corretta registrazione e contabilizzazione dell’operazione e dell’assenza di malfunzionamenti. La produzione documentale attestante la regolarità formale della SCA non soddisfa da sola l’onere probatorio: l’intermediario deve indicare gli elementi di fatto delle modalità esecutive dai quali desumere in via presuntiva la colpa grave dell’utente. Quando ricorrono gli indici di anomalia del DM 112/2007, l’intermediario è tenuto ad attivare il blocco automatico dello strumento di pagamento; la sua inerzia integra un concorso di colpa che giustifica una riduzione equitativa del rimborso.

Il Fatto

Il ricorrente, titolare di una carta prepagata, riceveva un messaggio apparentemente proveniente da un intermediario con cui si annunciava un addebito presso un esercizio di Lugano, corredato di un numero di cellulare per annullarlo. Contattato il numero, il sedicente operatore lo invitava a proseguire su Whatsapp e a installare una applicazione per recuperare la somma. Seguendo le istruzioni, il ricorrente avvicinava al proprio cellulare, in modalità contactless, prima la carta di un terzo intermediario e poi quella dell’intermediario resistente.

Accortosi della truffa, apprendeva che il malfattore aveva sostituito il documento di identità e il numero telefonico registrati nei sistemi. Esperito senza esito il reclamo, chiedeva la restituzione di € 3.463,88, in subordine di € 2.613,88. L’intermediario eccepiva che la frode rientrava nello schema card relay attack, che tutte le operazioni erano state regolarmente autenticate e che il cliente versava in colpa grave; aveva già rimborsato € 50.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e individua due profili distinti, il primo assorbente rispetto al secondo: la prova dell’autenticazione e la prova della colpa grave dell’utente.

Sul primo punto il Collegio ritiene che l’intermediario abbia assolto all’onere: dalla documentazione emerge il rispetto delle procedure di SCA in ogni fase, l’enrollment sull’app, l’installazione della nuova applicazione e il volontario contatto della carta con il cellulare tramite tecnologia NFC. La regolarità formale delle autenticazioni è dunque dimostrata.

Richiamata la decisione del Collegio di Coordinamento n. 22745/2019, secondo cui la sola regolarità formale non basta a provare la colpa grave, il Collegio ricerca gli elementi di fatto delle modalità esecutive. Li individua nel messaggio civetta, proveniente da un intermediario con cui il ricorrente non aveva alcun rapporto e caratterizzato da un vistoso errore grammaticale; nell’errore presente nella conversazione Whatsapp; nell’aver contattato un numero sconosciuto e nell’aver installato una applicazione seguendo pedissequamente le istruzioni del malfattore. Tali condotte integrano la colpa grave.

Il Collegio rileva tuttavia che per la terza operazione fraudolenta risultavano verificati gli indici di anomalia dell’art. 8, lett. a), punto 2), e lett. b), punto 2), del DM 112/2007: tre operazioni in pochi minuti presso il medesimo punto vendita e quindici richieste di autorizzazione nelle ventiquattro ore, pari a circa una ogni venti secondi. Un dato che i sistemi automatici di sicurezza avrebbero dovuto cogliere, attivando il blocco automatico dello strumento di pagamento, come affermato dal Collegio di Coordinamento n. 24366/2019.

Configurato il concorso tra la colpa grave del ricorrente e l’inerzia dell’intermediario, il Collegio esclude che il verificarsi degli indici di anomalia comporti automaticamente la restituzione integrale delle somme successive, dovendosi valutare in concreto la colpa specifica del cliente. Tenuto conto del grado elevato di colpa, della relativa novità dello schema del card relay attack e dell’ammontare delle operazioni, l’intermediario è dichiarato tenuto, in via equitativa, alla restituzione di € 2.564,00, oltre al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 alla parte ricorrente.