Truffa QR code e rimborso senza colpa grave dell’utente (ABF Collegio di Milano n. 3143 del 10.04.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento online disconosciute dal cliente, l’intermediario deve provare l’avvenuta autenticazione forte (SCA), la corretta registrazione e contabilizzazione dell’operazione, nonché i fatti idonei a integrare la colpa grave dell’utilizzatore. Quando la SCA è dimostrata dai log con l’impiego di due fattori indipendenti di categorie diverse, e la notifica push riporta chiaramente natura, ammontare e beneficiario del pagamento, il cliente che abbia seguito istruzioni anomale provenienti da canali esterni e abbia ignorato gli avvertimenti della piattaforma risponde a titolo di colpa grave ai sensi dell’art. 12 D.lgs. n. 11/2010. In tal caso il ricorso di rimborso è inammissibile nel merito e va rigettato, non ravvisandosi responsabilità concorrente dell’intermediario.

Il Fatto

Il ricorrente riferisce di essere stato contattato, nell’ottobre 2025, da un sedicente acquirente interessato a un prodotto posto in vendita su una piattaforma online. Tramite l’invio di un QR code, il soggetto lo induceva ad accedere a una pagina contraffatta, dove un supporto virtuale gli richiedeva di confermare la propria identità eseguendo il “blocco” di alcune somme. Tratto in inganno, il ricorrente autorizzava un pagamento di € 499,00, avvedendosi dell’addebito reale solo in un secondo momento; bloccava quindi la carta e chiedeva il rimborso.

L’intermediario si opponeva, eccependo che l’operazione era stata regolarmente autenticata tramite SCA e imputando al ricorrente colpa grave per aver dato seguito a richieste anomale di soggetti ignoti, conducendo la trattativa fuori dalla piattaforma ufficiale e trascurando il contenuto della notifica push. Chiedeva pertanto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento nel D.lgs. n. 11/2010 e nel Provvedimento attuativo della Banca d’Italia del 05.07.2011, soffermandosi sui due oneri probatori posti a carico dell’intermediario. Da un lato, questi deve dimostrare l’autenticazione forte dell’operazione, realizzata mediante almeno due dei tre fattori di conoscenza, inerenza e possesso, reciprocamente indipendenti e appartenenti a categorie diverse. Dall’altro, deve provare tutti i fatti idonei a integrare la colpa grave dell’utilizzatore, unica ipotesi, oltre al dolo, in cui il cliente può subire le conseguenze dell’utilizzo fraudolento dello strumento di pagamento.

Quanto al primo profilo, il Collegio rileva che dai log prodotti risultano due fattori di autenticazione: la verifica del possesso del dispositivo registrato mediante OTP generata dall’app a seguito di notifica push, e l’inserimento del codice PIN per validare la PUSH stessa. La SCA risulta dunque integrata, e la notifica riportava chiaramente le informazioni relative alla natura, alla somma e al beneficiario dell’operazione.

Passando al secondo profilo, il Collegio valorizza le modalità della condotta. Il ricorrente ha scansionato un QR code esterno alla piattaforma, raggiungendo un sito dove una chatbot ha richiesto i dati della carta e l’autorizzazione della notifica push, rassicurandolo falsamente che l’importo fosse solo un codice di verifica. Le evidenze mostrano che la comunicazione avvenne su canali esterni all’intermediario e che l’interfaccia non imitava correttamente quella originale, mancando persino del logo ufficiale. La piattaforma, inoltre, disponeva di una sezione che avvertiva di non uscire mai dall’applicazione tramite link esterni.

Alla luce di tali evidenze, il Collegio ritiene la condotta del ricorrente connotata da colpa grave, escludendo responsabilità concorrente dell’intermediario, che aveva inviato una notifica alert recante natura della somma, ammontare e beneficiario. Il ricorso è pertanto rigettato.