Truffa falso acquirente online concorso colposo cliente per OTP e PIN (ABF Collegio di Milano n. 2415 del 18.03.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con l’inserimento della disposizione e di tutti i fattori di autenticazione, la stessa deve considerarsi autorizzata e non viene in rilievo il regime di responsabilità per le operazioni non autorizzate di cui alla direttiva 2015/2366/EU (PSD2) e al D. Lgs. n. 11/2010. Se invece il concorso causale dell’utente in fase dispositiva o autorizzativa è solo parziale, la transazione non è per ciò solo autorizzata, perché la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e PSP. La prova della corretta autenticazione, offerta dall’intermediario mediante evidenza dell’OTP e del PIN, esclude la responsabilità del prestatore di servizi di pagamento e fa emergere il concorso colposo del cliente.

Il Fatto

Il ricorrente pubblica su un sito di annunci la vendita di un armadio. Viene contattato da un presunto acquirente che, dopo alcuni messaggi su WhatsApp, annuncia un pagamento tramite il sistema della piattaforma. Seguono una e-mail contraffatta, con l’invito ad accettare l’offerta, e una telefonata di un sedicente operatore, che prospetta un blocco di € 1.000,00 sulla carta e suggerisce di aprire un conto presso un istituto di pagamento per sbloccare la somma.

Seguendo le istruzioni, il cliente esegue diverse operazioni su due carte, per un totale rivendicato di € 6.000,00. Si accorge della truffa, presenta denuncia e blocca le carte. Il reclamo all’intermediario ha esito negativo; questi, dopo il disconoscimento, riaccredita temporaneamente le somme e poi nega il rimborso, sostenendo che le operazioni sono state disposte e validate dal cliente. Il ricorrente invoca la responsabilità della banca, il superamento del plafond, la mancata attivazione di alert e la propria vulnerabilità emotiva.

La motivazione del Collegio

Il Collegio affronta anzitutto il perimetro della domanda. Il ricorso evoca diciotto operazioni per circa seimila euro, ma i moduli di disconoscimento e la stessa intermediaria indicano n. 14 operazioni per € 6.052,30. Poiché il cliente non specifica quali ulteriori operazioni intenda includere, la valutazione resta circoscritta a quelle oggetto dei moduli, eseguite tra il 13 e il 15 settembre tramite tre carte virtuali create «sopra» le due carte principali.

Il passaggio centrale riguarda la distinzione tra operazioni eseguite direttamente dal pagatore e operazioni rispetto alle quali il suo concorso è parziale. Per le prime quattro, compiute per intero dal cliente con l’inserimento di tutti i fattori di autenticazione, il principio consolidato del Collegio impone di considerarle autorizzate: non si applica quindi la disciplina sulle operazioni non autorizzate. Per le restanti, autenticate con codice OTP e PIN, l’intermediario offre prova documentale della corretta esecuzione dei fattori di autenticazione, tanto per la creazione delle carte virtuali quanto per i singoli pagamenti.

La difesa del ricorrente si appunta sull’assenza di alert e misure antifrode. Il Collegio la respinge sulla base delle evidenze: le notifiche push risultano inviate al device del cliente prima dell’esecuzione delle operazioni, a dimostrazione della piena consapevolezza delle singole disposizioni. Quanto agli indici di anomalia, le operazioni sono state compiute con carte diverse in giorni differenti, circostanza che esclude una movimentazione anomala del conto e rende superfluo ogni ulteriore accertamento sul punto.

Il Collegio sottolinea infine che il cliente ha creato le carte virtuali seguendo le indicazioni telefoniche del truffatore, gli ha fornito i dati della carta e ha confermato le operazioni tramite il proprio dispositivo, come risulta dalla chat WhatsApp acquisita. Da qui la conclusione: emerge in modo evidente il concorso colposo del ricorrente, senza il quale la truffa non avrebbe avuto esito positivo. Il ricorso è pertanto non accolto.