Prelievi cardless con QR code e PIN: SCA e colpa grave dell’utente (ABF Collegio di Napoli n. 1569 del 20.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento assolve all’onere della prova previsto dall’art. 10 d.lgs. n. 11/2010 quando dimostri l’avvenuta autenticazione, la corretta registrazione e contabilizzazione dell’operazione e il mancato malfunzionamento delle procedure necessarie alla sua esecuzione. Ove tale prova sia raggiunta, l’assenza di allegazioni del cliente sulle concrete modalità della frode assume rilievo ai fini della valutazione della sua colpa grave. Il prelievo cd. cardless, autorizzato mediante inquadramento del QR code con il device certificato e inserimento del PIN, costituisce operazione autenticata con autenticazione a due fattori riconducibile all’utente. L’adesione ingenua e imprudente alle istruzioni dei truffatori, che abbia consentito l’erogazione del denaro, integra colpa grave dell’utilizzatore e giustifica il rigetto della richiesta di rimborso.

Il Fatto

La ricorrente riferisce di aver ricevuto il 9.3.2025 un SMS apparentemente proveniente dall’intermediario, con cui le veniva segnalato un prelievo di € 3.000,00 e indicato un recapito telefonico da contattare in caso di disconoscimento. Contattata l’utenza, un sedicente operatore le prospettava un asserito attacco informatico al conto e la necessità di una procedura di risoluzione. All’esito della stessa, la cliente riceveva una mail che la informava dell’esecuzione di due addebiti per complessivi € 3.000,00.

Esperito senza esito il reclamo, la ricorrente si è rivolta all’Arbitro chiedendo il rimborso. L’intermediario ha contestato la domanda, sostenendo che i prelievi cardless erano stati autorizzati personalmente dalla cliente con il proprio device certificato e che, quindi, le operazioni non rientravano nell’ambito applicativo della disciplina invocata.

La motivazione del Collegio

Il Collegio ricostruisce in primo luogo il funzionamento del prelievo cardless: inquadramento con lo smartphone del QR code esposto sull’ATM, collegamento automatico dell’app alla cassa, selezione dell’importo e autorizzazione con il PIN. Nel caso concreto, secondo la narrazione della ricorrente, i QR code visualizzati all’ATM sono stati inviati dai truffatori e la cliente li ha inquadrati con il proprio device, autorizzando così i due prelievi.

Sul piano normativo, la decisione richiama il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE, e le fonti della strong customer authentication. Il punto centrale è l’onere della prova a carico del prestatore: questi deve dimostrare autenticazione, corretta registrazione e contabilizzazione dell’operazione e assenza di malfunzionamenti delle procedure. Solo una volta assolto tale onere, le mancate allegazioni del cliente sulle circostanze della frode diventano elemento di convincimento sulla sua colpa grave.

L’intermediario ha depositato le tracciature dei movimenti informatici, l’evidenza dell’OTS inviato al numero certificato della ricorrente e necessario per l’innalzamento dei limiti operativi, nonché la descrizione del procedimento di autenticazione. Le due operazioni — € 2.000,00 e € 1.000,00 — sono state eseguite a distanza di pochi minuti l’una dall’altra e poco dopo l’aumento dei limiti di prelievo, con autenticazione a due fattori mediante device certificato e PIN. Il Collegio ritiene pertanto che il sistema approntato dall’intermediario sia idoneo a garantire la SCA e che non emerga alcun inadempimento degli obblighi di sicurezza.

Quanto al messaggio civetta, il Collegio ne esclude la riconducibilità alla banca: il numero del mittente non è associabile ai canali ufficiali dell’istituto, il testo è approssimativo e difforme dagli standard comunicativi, i toni allarmistici ne compromettono la credibilità. Non rileva in senso favorevole alla ricorrente la circostanza che gli alert siano stati inviati via mail e visionati solo dopo le operazioni.

Alla luce di ciò, il Collegio ravvisa la prova, in via presuntiva, della colpa grave dell’utente, secondo l’orientamento richiamato nella decisione del Collegio di Coordinamento n. 22745/2019: la cliente, con il proprio comportamento, ha consentito il determinarsi della truffa, aderendo in modo ingenuo e imprudente alle istruzioni dei malfattori. Il ricorso è pertanto non accolto.