Truffa del falso acquirente online: operazione autorizzata dal pagatore e responsabilità dell’intermediario (ABF Collegio di Palermo n. 5283 del 09.06.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è soggetta al regime di responsabilità della PSD2. Rientrano in questa fattispecie anche le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, senza la consapevolezza di disporre una transazione, come le c.d. operazioni “sotto dettatura”. Esclusa l’applicazione della disciplina di favore per il cliente, la vicenda va valutata secondo le regole di diritto comune. L’intermediario che abbia attivato l’ordinaria autenticazione forte del cliente (SCA) non risponde della truffa subita dal pagatore, non potendosi pretendere da chi non ha svolto alcun ruolo, neppure passivo, nella frode nulla di più di tale attivazione.

Il Fatto

Il ricorrente aveva pubblicato su un noto sito di acquisti online un annuncio di vendita di un paio di occhiali. Nel gennaio 2026 un sedicente acquirente lo ha indotto, tramite un link, a inserire i dati della propria carta su una pagina identica a quella originale, prospettandogli che ciò servisse a “ricevere il pagamento”. Il truffatore, anche attraverso una chat, lo ha persuaso che l’addebito di € 449,00 costituisse una mera “verifica”.

La banca ha respinto il reclamo eccependo la colpa grave del cliente. Il ricorrente ha quindi adito l’ABF chiedendo il rimborso di € 484,55, sostenendo che l’autorizzazione era stata estorta con dolo, che l’operazione verso un esercente estero era anomala rispetto al proprio profilo e che l’intermediario non aveva attivato adeguati sistemi di monitoraggio antifrode. L’intermediario ha chiesto il rigetto, deducendo l’avvenuta autorizzazione personale dell’operazione, la conformità della stessa alla disciplina SCA e la colpa grave del cliente, che aveva utilizzato canali alternativi alla piattaforma ufficiale e ignorato il contenuto delle notifiche push.

La motivazione del Collegio

Il Collegio ha qualificato la vicenda come sottrazione fraudolenta di somme, ma ha subito precisato che l’operazione, pur indotta dal raggiro, è stata eseguita personalmente dal ricorrente. Lo stesso modulo di disconoscimento lo afferma espressamente. Da qui la conseguenza tecnica: è inapplicabile la disciplina del d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/17 di attuazione della direttiva 2015/2366/UE (PSD II).

Il Collegio ha richiamato l’orientamento secondo cui, quando l’operazione è compiuta per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, essa va considerata autorizzata e resta fuori dal regime di responsabilità della PSD2. Nella stessa categoria rientrano le operazioni eseguite seguendo le indicazioni del frodatore, le c.d. operazioni “sotto dettatura”, richiamando sul punto il precedente del Collegio di Palermo n. 2787/2024.

Esclusa la disciplina di favore per il cliente, il caso è stato esaminato secondo le regole di diritto comune. Il Collegio ha ritenuto indiscutibile che la responsabilità della sottrazione vada imputata al ricorrente, il quale ha inserito i dati della carta credendo di ricevere, e non di effettuare, un pagamento. L’intermediario ha peraltro dato prova della SCA producendo i log dell’operazione, dai quali risultava l’autorizzazione tramite fattore di possesso (device in uso abituale al cliente) e fattore di conoscenza (Pin per validare la credenziale dinamica OTP). Il ricorrente aveva quindi a disposizione elementi sufficienti per allarmarsi, avendo ricevuto anche la notifica push che lo avvisava del pagamento in corso.

Quanto alla lamentata omessa attivazione dei sistemi antifrode, il Collegio non ha condiviso la prospettazione. Considerata la modesta entità della somma e il carattere isolato dell’operazione, non si poteva pretendere dall’intermediario, estraneo alla truffa, nulla di più dell’attivazione dell’ordinario sistema di SCA. Il ricorso è stato pertanto respinto.