Truffa con malware NFC e PIN comunicato: sussiste la colpa grave dell’utilizzatore (ABF Collegio di Milano n. 4335 del 13.05.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute, il prestatore di servizi di pagamento che invochi l’esonero da responsabilità deve provare non solo l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti, ma anche che l’uso indebito dello strumento sia riconducibile al comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore. La produzione documentale attestante l’autenticazione forte del cliente e la formale regolarità dell’operazione non soddisfa di per sé l’onere probatorio: occorre indicare gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la prova della colpa grave. Questa sussiste quando il titolare, vittima di uno schema truffaldino noto e riconoscibile con ordinaria diligenza, comunichi ai sedicenti operatori i dati della carta e il codice PIN, consentendo l’esecuzione di pagamenti non autorizzati.

Il Fatto

Il ricorrente riferisce di aver ricevuto il 26 giugno 2025 un SMS apparentemente proveniente dall’intermediario, che chiedeva conferma di un addebito di € 985,00. Telefonava quindi all’intermediario, che lo faceva contattare da sedicenti appartenenti al Comando dei Carabinieri per bloccare ulteriori addebiti fraudolenti. Solo in seguito si avvedeva della truffa, rilevando un’operazione non autorizzata di € 990,00 eseguita mediante POS. Presentava denuncia e reclamo, riscontrato negativamente, e chiedeva la restituzione della somma.

L’intermediario controdeduceva di aver disposto il blocco della carta su richiesta del cliente, di non aver ricevuto copia del messaggio civetta e di aver registrato e autenticato correttamente l’operazione, con inserimento delle credenziali da parte del cliente. Eccepiva la colpa grave dell’utilizzatore, che aveva comunicato PIN e dati della carta e aveva scaricato un’applicazione malevola tramite link ricevuto via SMS.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile richiamando il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/2017 di attuazione della direttiva 2015/2366/UE (PSD2). Ai sensi dell’art. 10, comma 1, il prestatore deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Tale prova è necessaria ma non sufficiente: ai fini dell’esonero ex art. 10, comma 2, occorre dimostrare che l’uso indebito del dispositivo deriva da comportamento fraudolento, doloso o gravemente colposo dell’utilizzatore rispetto agli obblighi dell’art. 7.

Richiamato l’orientamento del Collegio di Coordinamento n. 22745/2019, il Collegio ribadisce che la documentazione sull’autenticazione e sulla regolarità formale non esaurisce l’onere probatorio, dovendo l’intermediario indicare gli elementi di fatto delle modalità esecutive. Vengono altresì richiamati gli artt. 97 e 98 PSD2, l’art. 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e l’art. 12 del medesimo decreto, che esclude la perdita per il pagatore solo se il prestatore non esiga l’autenticazione forte.

Nel caso concreto l’operazione risulta autenticata con doppio fattore: carta fisica (possesso) e digitazione del PIN (conoscenza). L’intermediario spiega anche la discrasia tra la sede del merchant, Napoli, e la posizione del cliente a Pordenone, ricondotta al Card Relay Attack: lo schema prevede l’invio di SMS o messaggi civetta, la telefonata a un finto operatore, l’installazione di un malware che legge i dati della carta dal chip NFC e la loro trasmissione in tempo reale ai truffatori, con emulazione di una carta virtuale.

Quanto alla colpa, il Collegio rileva che l’SMS civetta conteneva errori di sintassi, che il numero mittente e quello da contattare non erano riconducibili all’intermediario e che l’operazione da € 985,00 non risultava dall’estratto conto. Il cliente, inoltre, ha dichiarato di aver comunicato direttamente il PIN. La truffa è quindi banale e riconoscibile con media diligenza. Quanto alla tardiva notifica dell’operazione, il Collegio osserva che il mancato funzionamento dell’SMS-alert è irrilevante in presenza di una sola operazione, e che l’intermediario si era comunque prontamente attivato con telefonate e mail pochi minuti dopo.

Il ricorso è pertanto non accolto.