Truffa online con SCA completa: operazioni autorizzate e nessun rimborso al cliente (ABF Collegio di Palermo n. 4366 del 14.05.2026)

Principi di diritto (Massima)
Le operazioni di pagamento disposte integralmente dal cliente, che inserisca personalmente la disposizione e tutti i fattori di autenticazione forte, non possono qualificarsi come non autorizzate ai sensi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD II), quand’anche il consenso sia viziato da un raggiro subito ad opera di un terzo ignoto. In tale ipotesi la disciplina di favore della PSD II non trova applicazione e la perdita resta a carico dell’utente, salvo prova contraria a suo onere. La responsabilità del cliente può tuttavia concorrere con quella dell’intermediario quando dalla documentazione emerga un concreto apporto causale del prestatore di servizi di pagamento alla frode, anche a prescindere dagli indicatori di anomalia del D.M. n. 112/2007.

Il Fatto

Il ricorrente mette in vendita una stampante su una nota piattaforma di e-commerce e viene contattato da un asserito acquirente. Nel corso della trattativa riceve un messaggio con un link: cliccandovi accede a una pagina apparentemente riconducibile al sito, nella quale inserisce i propri dati personali e quelli della carta per ricevere il pagamento. Poiché la prima procedura non si perfeziona, l’utente inserisce i dati di una seconda carta, collegata all’intermediario resistente. Si tratta in realtà di una truffa, attraverso la quale gli vengono sottratti complessivamente € 496,00, mediante due operazioni da € 248,00 ciascuna.

Il ricorrente chiede quindi il rimborso. L’intermediario resiste sostenendo che le operazioni non sono qualificabili come non autorizzate, essendo state poste in essere dal cliente sia pure sulla base di un consenso viziato, e che in ogni caso risultano autenticate, registrate e contabilizzate con autenticazione forte. Aggiunge che l’utente ha ignorato gli alert del sistema antifrode e ha tenuto condotta gravemente negligente.

La motivazione del Collegio

Il Collegio richiama l’orientamento dei Collegi territoriali secondo cui le operazioni integralmente effettuate dal cliente, che abbia personalmente inserito la disposizione di pagamento e tutti i fattori di autenticazione, non configurano ipotesi di operazione non autorizzata neppure quando il consenso sia viziato da un raggiro. A tali operazioni non si applica la disciplina del d.lgs. n. 11/2010 e successive modificazioni, che resta invece riferita ai casi di concorso causale parziale dell’utente nella fase dispositiva o autorizzativa.

Nel caso concreto, secondo il Collegio, le dichiarazioni del ricorrente non dimostrano in modo univoco che le operazioni siano state poste in essere da altri. L’utente afferma di avere comunicato i dati delle carte, ma non di avere personalmente eseguito le disposizioni. Tuttavia, dalle circostanze riferite e documentate dall’intermediario emerge che, sia pure su indicazione del truffatore, è stato lo stesso ricorrente a operare tramite l’app, effettuando i pagamenti con il proprio device registrato. Da ciò deriva l’inapplicabilità della normativa di recepimento della PSD II.

Esclusa la disciplina di favore, il Collegio ritiene che la responsabilità del cliente che ha effettuato l’operazione non possa essere esclusa, salvo prova contraria a suo onere, dovendo egli sopportare la perdita subita. Tale responsabilità può concorrere con quella dell’intermediario, ancorché non si riscontrino gli indicatori di anomalia del D.M. n. 112/2007, quando emerga in concreto un apporto causale del prestatore alla frode: si pensi alla mancata disponibilità del numero verde, alla mancata identificazione del tentativo di frode da parte del dipendente, al mancato rilievo di indici di frode in presenza di pagamenti disposti nella convinzione di effettuare accrediti.

Nel caso di specie il Collegio esamina la denuncia e rileva che il tipo di truffa non può dirsi sofisticato, che il ricorrente ha cliccato colpevolmente sul link, che ha ignorato il messaggio del sistema antifrode — circostanza documentata e non smentita — e che non ha avuto sospetti quando, nell’ambito della vendita di un bene, gli è stato chiesto di effettuare pagamenti. L’intermediario ha inoltre inviato notifiche push di riepilogo delle operazioni. Alla luce di tali circostanze il Collegio esclude un concorso di colpa dell’intermediario e non accoglie il ricorso.