Truffa card relay attack: concorso di colpa dell’intermediario per omessa rilevazione (ABF Collegio di Napoli n. 3375 del 16.04.2026)

Principi di diritto (Massima)
Le operazioni di pagamento eseguite in modalità contactless con lettura della carta e successivo inserimento del PIN sono formalmente conformi alla strong customer authentication, perché sorrette da un elemento di possesso e da un elemento di conoscenza. Tuttavia, l’intermediario che non predisponga meccanismi idonei a rilevare le operazioni fraudolente, in presenza degli indicatori di frode ricavabili dall’art. 8 del D.M. n. 112/2007 e dall’art. 2 del Regolamento Delegato UE 2018/389, risponde a titolo di concorso di colpa nel danno subito dal cliente. Assume rilievo, in particolare, la reiterazione di tre o più richieste di autorizzazione sulla stessa carta, nelle ventiquattro ore, presso il medesimo punto vendita. Parimenti rilevante è la mancata prova dell’invio dei messaggi di allerta sui movimenti in uscita. Il rimborso va pertanto commisurato alla misura della colpa accertata.

Il Fatto

Il ricorrente chiede all’Arbitro la restituzione di € 3.140,00, sottrattigli mediante sette operazioni di pagamento POS non autorizzate, eseguite su una carta prepagata dotata di IBAN. La vicenda segue uno schema articolato: dapprima un SMS apparentemente proveniente dall’intermediario, che invitava a verificare presunte anomalie di sicurezza; poi il contatto di un sedicente operatore, che prospettava la possibilità di bloccare l’operazione tramite un’applicazione da scaricare con un link condiviso; infine l’invito a inquadrare con il cellulare la carta di debito e ad accedere all’app dell’intermediario per recuperare il codice di sicurezza.

Resosi conto della truffa, il ricorrente chiudeva l’applicazione e bloccava lo strumento di pagamento. L’intermediario, costituitosi, conferma le sette operazioni in modalità contactless per l’importo complessivo indicato, assume il pieno rispetto degli obblighi in tema di SCA e chiede il rigetto del ricorso. Insoddisfatto dell’esito del reclamo, il ricorrente adisce l’Arbitro.

La motivazione del Collegio

Il Collegio colloca la vicenda sotto il vigore del D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. Le fonti sulla strong customer authentication sono individuate negli artt. 97 e 98 della PSD2, nell’art. 10-bis del D. Lgs. 11/2010, nel Regolamento Delegato UE 2018/389 e nei criteri interpretativi dell’EBA, con particolare riguardo al parere del 21 giugno 2019.

Sul piano ricostruttivo, le operazioni consistono in sette prelievi cardless, eseguiti il 02/10/2025 nell’arco di tre minuti, dalle 18:15 alle 18:18, tutti presso il medesimo punto vendita, per complessivi € 3.140,00. Lo schema è ricondotto al c.d. Card Relay Attack: il cliente viene ingaggiato con un phishing tradizionale e, mediante l’installazione sul dispositivo di un’applicazione malevola, si realizza la transazione contactless sfruttando la tecnologia NFC.

La difesa dell’intermediario trova, sul piano formale, un primo riconoscimento. Le operazioni risultano autorizzate tramite un elemento di possesso, la carta letta in modalità contactless, e uno di conoscenza, il PIN, recuperato poco prima dell’inizio dei prelievi tramite l’App dell’intermediario. Sotto il profilo formale, dunque, le operazioni sono correttamente autenticate e la procedura conforme alla SCA.

Il Collegio non si ferma tuttavia alla verifica formale. Rileva la sussistenza degli indici di frode previsti dall’art. 8 del D.M. n. 112/2007, che, pur privi di valore precettivo diretto, costituiscono utili indicatori di anomalie e raggiri anche ai sensi dell’art. 2 del Regolamento EBA n. 2018/389, in base al quale gli intermediari devono predisporre meccanismi idonei a rilevare le operazioni non autorizzate o fraudolente. Viene in rilievo la soglia dei terminali POS: tre o più richieste di autorizzazione sulla stessa carta, nelle ventiquattro ore, presso un medesimo punto vendita. Nella specie le richieste sono sette, concentrate in pochi minuti.

A ciò si aggiunge un ulteriore rilievo: l’intermediario afferma di disporre di un sistema di notifiche sui movimenti in uscita, ma non fornisce alcuna evidenza dell’invio dei c.d. messaggi alert. Tali elementi inducono il Collegio a ritenere addebitabile all’intermediario un concorso di colpa nella misura del 50%. Al ricorrente è riconosciuto l’importo di € 1.570,00, oltre interessi legali dalla data del reclamo. Il ricorso è accolto in parte. Il Collegio dispone inoltre il versamento del contributo di € 200,00 alla Banca d’Italia e il rimborso di € 20,00 al ricorrente.