Social hacking e operazioni personali del titolare escludono il rimborso del PSP (ABF Collegio di Milano n. 497 del 21.01.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite materialmente e personalmente dall’utilizzatore della carta di debito, ancorché indotte da un raggiro telefonico riconducibile al fenomeno del social hacking, costituiscono operazioni autorizzate e non rientrano nell’ambito dell’art. 10 D. Lgs. n. 11/2010, che disciplina le operazioni non autorizzate. In tali casi l’intermediario è esonerato dalla prova dell’autenticazione e non è configurabile a suo carico alcuna responsabilità oggettiva. Il prestatore di servizi di pagamento risponde solo dell’inadempimento o dell’inesatto adempimento dell’obbligo di eseguire gli ordini impartiti dall’utilizzatore, non potendo impedire che il cliente disponga liberamente delle somme di cui ha la disponibilità.

Il Fatto

La ricorrente ha denunciato di essere stata vittima di una frode telefonica riconducibile al fenomeno del social hacking. Un truffatore, contattandola telefonicamente, l’avrebbe indotta a eseguire cinque operazioni di ricarica tramite la carta di debito emessa dalla banca convenuta, per un importo complessivo di € 901,00. Le operazioni sono state compiute direttamente dalla cliente presso uno sportello ATM il 20 agosto 2025, tra le ore 17:44 e le ore 17:45.

Disconoscendo gli addebiti, la ricorrente ha chiesto il rimborso della somma, sostenendo che la responsabilità fosse da imputare alla banca, incapace di impedire l’accesso fraudolento al proprio sistema informatico. L’intermediario ha eccepito in via preliminare l’incompetenza per materia dell’Arbitro e, nel merito, ha chiesto il rigetto del ricorso, evidenziando che il pagamento era stato personalmente e volontariamente eseguito dalla cliente.

La motivazione del Collegio

Il Collegio respinge anzitutto l’eccezione di incompetenza. La domanda della ricorrente non mira a ottenere una pronuncia sull’incapacità di intendere e di volere, ma il rimborso di operazioni di pagamento asseritamente non autorizzate. Sia il petitum sia la causa petendi sono chiaramente individuati e rientrano nella competenza dell’Arbitro.

Nel merito, la controversia concerne la rimborsabilità della somma sottratta mediante operazioni disconosciute. Il Collegio rileva che alla data dei fatti era vigente il D. Lgs. n. 11/2010, modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD II). La valutazione deve quindi riguardare tanto l’accertamento della regolare autenticazione ed esecuzione delle operazioni, quanto l’eventuale colpa grave dell’utilizzatore.

Dalla documentazione emerge che la cliente, cadendo vittima del raggiro, ha personalmente eseguito le istruzioni del truffatore, il quale non si è mai presentato come operatore dell’intermediario. La tipologia di truffa è qualificabile come social hacking, fondata sull’impartire istruzioni manipolative al titolare della carta, lasciando che sia lo stesso titolare a disporre e autenticare i singoli pagamenti, senza che il frodatore venga mai a conoscenza dei codici di accesso.

In casi simili, in modo assorbente, i Collegi territoriali hanno statuito che le operazioni effettuate dall’utilizzatore sulla base di un consenso viziato dal raggiro non possono configurarsi come non autorizzate ex art. 10 D. Lgs. n. 11/2010, dovendo piuttosto essere inquadrate tra le operazioni autorizzate. L’intermediario è dunque esonerato dalla prova di autenticazione e non è configurabile una responsabilità oggettiva a suo carico. Il Collegio esclude anche profili di responsabilità concorrente secondo le norme di diritto comune: l’unico obbligo del prestatore di servizi di pagamento è eseguire gli ordini appositamente autorizzati dall’utilizzatore.

Il Collegio ritiene inoltre non rilevanti le circostanze sulla coazione psicologica in cui la ricorrente si sarebbe trovata, ribadendo che l’intermediario non può evitare che i clienti dispongano liberamente delle somme disponibili sul presupposto, indimostrabile, che ogni operazione anomala sia di per sé truffaldina. Il ricorso è pertanto rigettato.