Phishing e card relay attack: colpa grave del cliente e concorso dell’intermediario (ABF Collegio di Palermo n. 3595 del 22.04.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento, l’inversione dell’onere della prova a carico del prestatore di servizi di pagamento non si traduce in una responsabilità oggettiva: l’intermediario deve provare l’avvenuta autenticazione forte del cliente e la colpa grave dell’utente. Nel Card Relay Attack agevolato da phishing, la colpa grave del cliente è ravvisabile quando il messaggio civetta non provenga da canali riferibili all’intermediario e l’utente installi un malware da canali non ufficiali. La colpa grave del cliente non esclude il concorso di colpa dell’intermediario che ometta il monitoraggio delle operazioni: la pluralità di richieste di autorizzazione ravvicinate su una stessa carta integra un indice di frode, che giustifica un rimborso pari al 20% dell’importo disconosciuto.

Il Fatto

Il ricorrente, titolare di un conto e di una carta associata, disconosce sette operazioni POS eseguite in pochi minuti nella serata del 3 ottobre 2025, per un totale di € 4.470,00. Secondo la ricostruzione della denuncia, aveva ricevuto un SMS da un numero non riferibile all’intermediario, che lo avvertiva di un presunto pagamento non autorizzato e lo invitava a contattare un sedicente “servizio clienti ALLERT”. L’operatore, qualificatosi come “Ufficio Frode”, lo convinceva a scaricare un’app e a inquadrare la carta. Seguivano notifiche di pagamenti POS, con rassicurazioni circa il riaccredito.

Complessivamente venivano eseguite diciotto transazioni, tra cui undici da € 30,00, queste ultime già rimborsate dall’intermediario. Il ricorrente chiedeva quindi il rimborso della residua somma di € 4.470,00. L’intermediario eccepiva la regolarità delle operazioni, eseguite con SCA tramite il dispositivo del cliente infettato, e la colpa grave di quest’ultimo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, dal Regolamento delegato UE 2018/389 e dai criteri interpretativi EBA. L’art. 10 del decreto impone al prestatore di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha subito conseguenze di malfunzionamenti; l’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione. L’art. 10-bis prescrive l’autenticazione forte del cliente, definita dall’art. 1, lett. q-bis), come basata su due o più elementi tra conoscenza, possesso e inerenza.

Il Collegio precisa che la prova della colpa grave può essere fornita anche in via presuntiva, purché mediante presunzioni gravi, precise e concordanti, richiamando i precedenti Collegio Coordinamento n. 6168/2013 e n. 22745/2019. Nel caso concreto, i log informatici dimostrano che il dispositivo autentico del cliente accedette al sistema richiedendo il PIN, e che le operazioni furono autorizzate sul canale POS tramite lo stesso dispositivo certificato, con la digitazione del codice: sussistono dunque i requisiti della SCA.

Passando alla colpa grave, il Collegio distingue lo spoofing, in cui il messaggio appare realmente provenire dall’intermediario, dal meno insidioso phishing, in cui i truffatori modificano al massimo il nome del mittente. Nella specie l’SMS civetta e il numero contattato non erano riferibili all’intermediario, e il messaggio conteneva un errore ortografico. Circostanza dirimente, il cliente installò un software da canali non ufficiali, compromettendo il software originale dell’intermediario. L’insieme di tali elementi dimostra univocamente la colpa grave del ricorrente.

Tale colpa non esclude però il concorso di colpa dell’intermediario. La sequenza di diciotto pagamenti in pochi minuti presentava carattere sospetto. L’art. 8 del DM 30 aprile 2007, n. 112 individua il rischio di frode al raggiungimento di sette o più richieste di autorizzazione nelle 24 ore per una stessa carta. Pur privo di valore precettivo diretto in materia di disconoscimento, il decreto esprime un generale obbligo di monitoraggio delle operazioni. La presenza dell’indice di frode determina pertanto un limitato concorso di colpa dell’intermediario, quantificato secondo l’orientamento del Collegio nel 20% dell’importo disconosciuto.

Il ricorso è quindi accolto in parte, con condanna dell’intermediario alla restituzione di € 894,00, oltre al contributo di € 200,00 alle spese della procedura e al rimborso di € 20,00 versato dal ricorrente.