Truffa sul sito clone e autorizzazione del pagatore: nessuna responsabilità della banca (ABF Collegio di Roma n. 157 del 12.01.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è eseguita per intero dal pagatore, con inserimento della disposizione e dei fattori di autenticazione, essa deve considerarsi autorizzata e non soggetta al regime di responsabilità della PSD2. La produzione documentale che prova l’autenticazione e la regolarità formale dell’operazione non soddisfa da sola l’onere probatorio del prestatore di servizi di pagamento, che deve indicare gli elementi di fatto delle modalità esecutive da cui trarre la prova presuntiva della colpa grave dell’utilizzatore. Residua una responsabilità dell’intermediario solo in presenza di un apporto causale alla frode. Tale apporto non sussiste quando la truffa si svolge su un sito clone estraneo ai canali ufficiali della banca e il cliente, pur avvisato, sblocca manualmente i pagamenti verso un’applicazione esterna.

Il Fatto

La ricorrente, dopo aver registrato un capo in vendita su una nota applicazione di compravendita tra privati, riceveva un messaggio di un presunto acquirente che le chiedeva di registrare i propri dati per ottenere il pagamento. Seguendo le indicazioni della chat e dell’e-mail ricevuta, attivava la funzione di conferma della vendita inserendo i dati bancari della propria carta. Un operatore del supporto tecnico segnalava anomalie e chiedeva ulteriori versamenti: la ricorrente eseguiva così cinque pagamenti per un totale di euro 1.252,00, dei quali chiedeva la restituzione invocando la truffa.

L’intermediario resistente eccepiva che le operazioni erano state eseguite personalmente dalla ricorrente, che aveva autorizzato le notifiche push sull’applicazione e utilizzato il medesimo dispositivo in proprio uso. La banca invocava la condotta gravemente colposa della cliente, che aveva cliccato su un link di un indirizzo e-mail non riconducibile all’app e inserito le credenziali della carta su un sito di reindirizzamento.

La motivazione del Collegio

Il Collegio muove dalla disciplina applicabile alle operazioni eseguite dopo il recepimento della direttiva 2015/2366/UE (PSD2) con il d.lgs. n. 218 del 15/12/2017, che ha modificato il d.lgs. n. 11 del 2010. Ai fini della verifica della Strong Customer Authentication, perché l’intermediario vada esente da responsabilità occorre la prova dell’insussistenza di malfunzionamenti, dell’adozione di un sistema di sicurezza adeguato e della corretta registrazione, autenticazione e contabilizzazione delle operazioni.

Richiamando la decisione del Collegio di Coordinamento n. 22745/19, il Collegio ribadisce che la sola produzione documentale dell’autenticazione non esaurisce l’onere probatorio: occorre indicare gli elementi di fatto delle modalità esecutive da cui trarre, in via presuntiva, la prova della colpa grave dell’utente. Nel caso concreto, però, la stessa ricorrente ammette di aver inserito i dati della carta e di aver confermato le transazioni tramite notifica push.

Secondo l’orientamento consolidato dell’Arbitro, l’operazione eseguita per intero dal pagatore deve considerarsi autorizzata. Può residuare una responsabilità dell’intermediario per apporto causale alla frode solo in presenza di indici specifici: mancata disponibilità del numero verde, mancata identificazione del tentativo di frode da parte del dipendente, mancato rilievo di indici di frode. Nessuno di questi elementi emerge nella fattispecie.

La truffa non si è svolta attraverso i canali ufficiali della banca, ma tramite un’applicazione estranea all’intermediario. Il Collegio richiama sul punto la propria decisione n. 6534/2024: nel caso di sito clone non può ravvisarsi responsabilità della banca, perché non sono stati veicolati messaggi truffaldini apparentemente provenienti dalla banca stessa. L’intermediario ha inoltre inviato alla ricorrente alert sui pagamenti in corso verso un’applicazione esterna, che la cliente ha sbloccato manualmente.

Alla ricorrente è dunque esclusivamente ascrivibile la condotta colposa consistita nell’esecuzione e autorizzazione delle operazioni oggetto di truffa. Il ricorso è respinto.