Truffa con boxing e social engineering: responsabilità paritaria tra intermediario e cliente (ABF Collegio di Milano n. 3187 del 10.04.2026)

Principi di diritto (Massima)
Nel caso di frode realizzata con il contestuale impiego delle tecniche del boxing e del social engineering i Collegi ravvisano un concorso di colpa paritario tra le parti. All’utente si ascrive la violazione gravemente colposa dell’obbligo di custodia delle credenziali, per aver comunicato il PIN al falso operatore; all’intermediario si ascrive la mancata adozione di presidi idonei a evitare l’ingerenza di terzi, a partire dalla spedizione dello strumento di pagamento con modalità inadeguate. L’autenticazione forte delle operazioni, provata dai log, non esclude di per sé la responsabilità del prestatore di servizi di pagamento, perché rileva la condotta complessiva nella fase di consegna della carta. I profili di anomalia del D.M. 112/2007 non hanno valore precettivo diretto, ma esprimono un generale obbligo di monitoraggio e non incidono sulla misura del concorso, già determinata in misura paritaria.

Il Fatto

Il ricorrente riceve un SMS da un numero apparentemente riconducibile all’intermediario, che lo avvisa del rischio di blocco della spedizione della nuova carta di debito. Contattato il numero, un presunto operatore, a conoscenza dei suoi dati personali, gli comunica il nuovo PIN e gli chiede, a titolo di verifica dell’identità, quello della carta precedente: il cliente lo trasmette via SMS.

Non ricevuta la carta, il ricorrente apprende dal servizio clienti che lo strumento era stato attivato presso uno sportello ATM in un’altra città e che erano state eseguite operazioni per complessivi € 3.145,25. Blocca la carta, presenta denuncia, inoltra reclamo rimasto senza risposta e si rivolge all’Arbitro chiedendo il rimborso integrale, la produzione della documentazione contrattuale e il ristoro delle spese legali. L’intermediario eccepisce l’ammissibilità parziale del ricorso, avendo già versato il cinquanta per cento dell’importo frodato.

La motivazione del Collegio

Il Collegio muove dall’art. 10 del D.lgs. n. 11/2010: è onere dell’intermediario provare che le operazioni siano state correttamente autenticate, registrate e contabilizzate e che non vi siano stati malfunzionamenti; solo in un secondo momento grava su di esso la prova del dolo o della colpa grave dell’utilizzatore. I log prodotti attestano, per i prelievi ATM e i pagamenti POS, la lettura del chip e il corretto inserimento del PIN, con gli action code che escludono tentativi errati: le operazioni risultano quindi autenticate con la SCA richiesta dalla normativa.

L’autenticazione formale, tuttavia, non chiude la questione. Il Collegio ricostruisce la combinazione delle due tecniche fraudolente: il boxing, con cui i truffatori intercettano la carta spedita dall’emittente, e il social engineering, con cui il falso addetto, forte dei dati personali del titolare, si guadagna la fiducia ed estorce il PIN. In questa ipotesi i Collegi sono concordi nel ravvisare una ripartizione di responsabilità, considerate la violazione gravemente colposa dell’obbligo di custodia delle credenziali e la mancata adozione di presidi di sicurezza idonei.

Sul primo versante, la comunicazione del PIN via SMS ai frodatori configura colpa grave dell’utente; le evidenze sull’SMS civetta, inoltre, non riconducono la chat all’intermediario e manca documentazione della telefonata. Sul secondo, l’intermediario ha ammesso di aver inviato la carta per posta ordinaria, modalità non adeguata a prevenire furti e accessi non autorizzati a uno strumento destinato a custodia estrema. Il Collegio richiama il proprio orientamento in materia di boxing, anche per il profilo dell’attivazione della carta con il vecchio PIN invariato.

Il Collegio rileva altresì l’indice di anomalia di cui all’art. 8, lett. b), n. 1, del D.M. 112/2007, per le numerose richieste di autorizzazione nelle ventiquattro ore sulla stessa carta. A tali profili non riconosce però incidenza sulla quantificazione del concorso, già valutato paritario. Poiché l’intermediario ha corrisposto la metà dell’importo e le spese di avvio, la domanda di restituzione è dichiarata cessata la materia del contendere. Le richieste documentali risultano soddisfatte dalle condizioni contrattuali e dai log; quella sui titolari dei conti destinatari è inammissibile perché amplia la domanda in replica. Le spese legali non sono rimborsate, mancando il presupposto della necessità dell’assistenza per la complessità della controversia.