Truffa sul sito clone e pagamento autorizzato (ABF Collegio di Milano n. 2081 del 09.03.2026)

Principi di diritto (Massima)
Il pagamento disposto personalmente dal cliente, con inserimento della disposizione e di tutti i fattori di autenticazione, deve considerarsi autorizzato anche quando sia stato indotto da un raggiro e sia rivolto a un sito web contraffatto. Non trova pertanto applicazione il regime di favore per le operazioni di pagamento non autorizzate di cui all’art. 10, D.lgs. n. 11/2010 e alla direttiva 2015/2366/EU (PSD2), né occorre esaminare il sistema di autenticazione forte adottato dall’intermediario. Restano salve le responsabilità di diritto comune per colpa concorrente del prestatore di servizi di pagamento, da escludersi quando l’utente abbia agito con colpa grave.

Il Fatto

La parte ricorrente acquista online un notebook del costo di € 125,04, pagando con la carta l’11/10/2025 su un sito risultato poi un dominio clone fraudolento. La merce non viene mai consegnata e il sito scompare. Il giorno successivo la ricorrente apprende che il dominio era già stato segnalato da altri utenti per analoghe condotte fraudolente.

Esperito senza esito il reclamo, la ricorrente adisce l’Arbitro chiedendo l’accertamento della violazione degli obblighi di cooperazione e trasparenza, la riqualificazione dell’operazione come fraudolenta e il rimborso della somma, oltre alle spese. In subordine chiede una raccomandazione affinché l’intermediario adotti procedure conformi alla PSD2. L’intermediario eccepisce che l’operazione è stata autorizzata dal titolare, autenticata con SCA e notificata via push, e che ogni contestazione va rivolta al fornitore.

La motivazione del Collegio

Il Collegio individua la questione centrale nella qualificazione dell’operazione. Dal racconto della stessa ricorrente emerge che il pagamento è stato eseguito direttamente dal cliente, il quale, cadendo vittima del raggiro, ha personalmente inserito la disposizione e i fattori di autenticazione nella convinzione di pagare il prezzo di un computer.

Secondo l’orientamento dei Collegi richiamato nella decisione, quando l’operazione è eseguita per intero dal pagatore essa deve considerarsi autorizzata. Ne consegue l’inapplicabilità del regime di responsabilità per le operazioni non autorizzate previsto dalla PSD2 e dal D.lgs. n. 11/2010: il Collegio dichiara espressamente di non dover procedere all’esame del sistema di autenticazione forte dell’intermediario.

Esclusa la disciplina di particolare favore per il cliente, il Collegio verifica comunque, secondo le norme di diritto comune, se sussistano una colpa grave della ricorrente e una responsabilità concorrente dell’intermediario. Individua tre ipotesi sintomatiche: la mancata disponibilità del numero verde del prestatore, che impedisca di verificare la genuinità delle indicazioni del frodatore; la mancata identificazione del tentativo di frode da parte del dipendente interpellato; il mancato rilievo di indici di frode in presenza di accrediti indotti.

Nessuna di tali circostanze ricorre nel caso concreto. La ricorrente ammette di aver eseguito personalmente il pagamento e di aver constatato solo il giorno dopo che il sito era già segnalato come fraudolento: una condotta che il Collegio qualifica come connotata da colpa grave. Risulta inoltre il corretto invio della notifica push relativa all’esecuzione dell’operazione.

Il ricorso è pertanto non meritevole di accoglimento. L’intermediario era tenuto a dare corso a un’operazione correttamente autorizzata ed eseguita dal titolare del rapporto, senza che alcuna responsabilità possa essergli ascritta.