Truffa falso acquirente e prelievo cardless: colpa grave e prova SCA (ABF Collegio di Milano n. 3273 del 14.04.2026)

Principi di diritto (Massima)
L’operazione di pagamento disconosciuta dall’utilizzatore ricade nel perimetro del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE (PSD 2). Ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, il prestatore di servizi di pagamento deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Tale prova è necessaria ma non sufficiente: per l’esonero da responsabilità ai sensi dell’art. 10, comma 2, occorre ulteriormente dimostrare che l’uso indebito del dispositivo sia riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7. La regolarità formale dell’autenticazione non soddisfa da sola l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto delle modalità esecutive dell’operazione dai quali trarre, in via presuntiva, la prova della colpa grave.

Il Fatto

Il ricorrente pubblica un annuncio per la vendita della propria automobile. In data 17/11/2025 viene contattato da un sedicente acquirente che prospetta un pagamento tramite una procedura di bonifico cardless presso uno sportello ATM, inviando un QR code da inquadrare tramite l’App della banca per ricevere il pagamento. Il cliente inquadra il codice e autorizza l’operazione tramite App seguendo le indicazioni ricevute, per poi avvedersi di essere stato vittima di una truffa: l’operazione era stata eseguita a favore di terzi. Presenta denuncia e reclamo, riscontrato negativamente, e chiede la restituzione di € 1.500 oltre interessi legali.

L’intermediario eccepisce che l’operazione è stata autorizzata dal cliente mediante inquadramento del QR code e selezione dell’importo, con autenticazione a doppio fattore sul proprio dispositivo certificato, senza malfunzionamenti o intrusioni. Sostiene la colpa grave del cliente e chiede, in subordine, il riconoscimento di un concorso di colpa.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando gli artt. 97 e 98 della PSD 2, l’art. 10 bis del d.lgs. n. 11/2010, le norme tecniche di regolamentazione emanate dall’EBA e recepite con il Regolamento Delegato UE 2018/389, oltre ai criteri interpretativi dell’EBA. Viene richiamato anche l’art. 12 del d.lgs. n. 11/2010, secondo cui, salvo il caso di comportamento fraudolento, il pagatore non sopporta alcuna perdita se il prestatore non esige un’autenticazione forte del cliente. Il Collegio richiama la nozione di autenticazione forte dell’art. 1, lett. q-bis e il principio per cui essa è richiesta nella fase di accesso, in quella di esecuzione delle singole operazioni e rispetto a ogni azione a distanza che comporti rischio di frode.

Nel caso concreto l’intermediario fornisce prova di autenticazione a doppio fattore: dall’accesso all’home banking delle ore 14:55.51 del 17/11/2025 risulta l’utilizzo dell’App su device (fattore di possesso) e l’inserimento del Face ID (fattore di inerenza). I log documentano l’enrollment dei due dispositivi, entrambi associati al medesimo User ID, e l’autorizzazione dell’operazione con il dispositivo dotato di token App e riconoscimento biometrico, con esito “Status Ok” e nessuna anomalia.

Accertata la piena prova della SCA, il Collegio verifica il secondo presupposto dell’esonero, ossia la colpa grave dell’utilizzatore. La ritiene provata: la truffa è banale e poteva essere evitata con una media diligenza. Risulta decisiva la circostanza che le trattative si siano svolte al di fuori dei canali della piattaforma e che il cliente abbia concluso la vendita fuori dall’ambiente protetto. Il ricorrente è pertanto vittima di colpevole credulità, poiché le modalità della truffa rientrano tra quelle più diffuse e conosciute, riconoscibili da qualunque fruitore di servizi online dotato di normale avvedutezza (cfr. Collegio di Coordinamento n. 3498 del 26/10/2012).

La riconosciuta colpa grave non esclude che il Collegio possa individuare altri profili di responsabilità sul versante degli obblighi di protezione del bonus argentarius, anche sotto forma di mancata gestione di eventi che segnalino possibili frodi: profili che, nella vicenda in esame, non ricorrono. Quanto alla lamentata ignoranza della funzione di prelievo cardless, l’intermediario documenta l’invio della proposta di modifica unilaterale del contratto relativa all’introduzione del servizio. Il ricorso è pertanto non accolto.