Truffa con boxing e social engineering: concorso di colpa e SCA provata (ABF Collegio di Milano n. 4948 del 03.06.2026)

Principi di diritto (Massima)
Il concorso causale parziale dell’utente, che si limiti alle operazioni prodromiche disposte tramite la propria app, non rende di per sé autorizzata l’operazione ai sensi dell’art. 5 del D.Lgs. n. 11/2010, con la conseguenza che trova applicazione il regime di responsabilità del decreto. Accertata la SCA ai sensi degli artt. 10 e 10-bis del D.Lgs. n. 11/2010 mediante autenticazione con microchip e corretto inserimento del PIN, il Collegio valuta la condotta del titolare dello strumento di pagamento. L’attivazione della carta, la richiesta di visualizzazione del PIN e l’inerzia rispetto alle notifiche push integrano violazione gravemente colposa dell’obbligo di custodia delle credenziali ex art. 7 del D.Lgs. n. 11/2010. A fronte di tale colpa sussiste la responsabilità concorrente dell’intermediario, sul quale grava il rischio di impresa connesso alla spedizione dello strumento e che non ha adottato presidi idonei a impedire l’ingerenza di terzi nella fase logistica. Ne deriva, secondo l’orientamento condiviso dei Collegi, una ripartizione di responsabilità al 50%.

Il Fatto

Il ricorrente riferisce che il 29/12/2025 sono stati eseguiti tre prelievi ATM di € 1.000,00 ciascuno, per un totale di € 3.000,00, senza la sua autorizzazione. La truffa si sarebbe realizzata mediante l’intercettazione fisica della nuova carta in fase di spedizione e una telefonata ricevuta da un sedicente operatore, il quale, in possesso dei dati personali e delle ultime quattro cifre della carta, lo induceva ad attivarla tramite app. Seguivano la modifica dei limiti operativi e i tre prelievi nell’arco di tre minuti. Accortosi della frode dalle notifiche di prelievo, il ricorrente bloccava la carta e sporgeva denuncia alla Polizia di Stato il 30/12/2025.

Il reclamo all’intermediario veniva riscontrato negativamente. Il ricorrente chiede quindi il rimborso della somma residua di € 1.500,00, detratto il rimborso parziale già ricevuto. L’intermediario, dal canto suo, sostiene che le operazioni siano da qualificarsi come autorizzate ai sensi dell’art. 5 del D.Lgs. n. 11/2010, avendo il cliente disposto personalmente le operazioni prodromiche, e rileva la colpa grave del ricorrente, richiamando il precedente del Collegio di Roma n. 9087/2025. Chiede il rigetto del ricorso per la parte eccedente il rimborso già corrisposto, con applicazione in subordine della franchigia.

La motivazione del Collegio

Il Collegio delimita l’oggetto del ricorso ai residui € 1.500,00, essendo già stato corrisposto il 50% dell’importo contestato. I prelievi ATM sono stati eseguiti dal frodatore mediante la carta fisica intercettata in fase di spedizione, mentre il contributo del ricorrente si è limitato alle operazioni prodromiche disposte tramite la propria app: attivazione della carta, richiesta del PIN e modifica dei limiti operativi.

Su questo punto il Collegio richiama il principio per cui il concorso causale parziale dell’utente non determina di per sé l’autorizzazione dell’operazione ai sensi dell’art. 5 del D.Lgs. n. 11/2010 (Coll. Milano n. 4601/2024). Il regime di responsabilità del decreto è dunque applicabile e si procede all’esame della SCA ai sensi degli artt. 10 e 10-bis.

Con riguardo ai prelievi ATM, l’intermediario ha documentato l’autenticazione mediante microchip della carta, quale fattore di possesso, e il corretto inserimento del PIN, quale fattore di conoscenza. Il Collegio ritiene pertanto raggiunta la prova della SCA per le operazioni contestate.

Accertata la SCA, il Collegio passa alla condotta del titolare. Il ricorrente ha attivato la nuova carta tramite app e ha richiesto la visualizzazione del PIN, presumibilmente comunicandolo al truffatore, che lo ha poi utilizzato per i prelievi; ha inoltre ignorato le notifiche push ricevute nel corso della truffa. Tali condotte integrano violazione gravemente colposa dell’obbligo di custodia delle credenziali ex art. 7 del D.Lgs. n. 11/2010.

Sussiste tuttavia anche la responsabilità concorrente dell’intermediario, sul quale grava il rischio di impresa connesso alla spedizione dello strumento di pagamento e che non ha adottato presidi idonei a impedire l’ingerenza di terzi nella fase logistica. Secondo l’orientamento condiviso dei Collegi, nel caso di truffa realizzata con il contestuale utilizzo del boxing e del social engineering si ravvisa una ripartizione di responsabilità al 50% (Coll. Milano n. 974/2023). Non emergono elementi che giustifichino una diversa distribuzione del concorso di colpa: il rimborso già effettuato è idoneo a soddisfare la pretesa nei limiti della responsabilità dell’intermediario. Il ricorso non è pertanto accolto.