Truffa sul sito clone e SCA (ABF Collegio di Napoli n. 4619 del 22.05.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento non è responsabile del pregiudizio subito dal cliente vittima di una truffa informatica quando l’operazione sia stata disposta e autenticata personalmente dall’utente mediante autenticazione forte (SCA) e non emerga alcun apporto causale autonomo dell’intermediario. La mera regolarità formale della transazione non basta, di per sé, a liberare il prestatore: questi deve documentare gli elementi di fatto dai quali desumere, anche in via presuntiva, il dolo o la colpa grave dell’utente. Tuttavia, quando il pagamento è direttamente riconducibile al cliente, ancorché indotto in errore da raggiri di terzi, l’operazione resta autorizzata e la disciplina del d.lgs. n. 11/2010 non è invocabile per ottenere il rimborso.

Il Fatto

Il ricorrente, in data 26.12.2025, effettuava un acquisto on line su un sito raggiunto tramite le indicazioni fornite dall’intelligenza artificiale del motore di ricerca utilizzato. Il sito si rivelava poi un clone di quello originariamente cercato. Accortosi della truffa, il cliente bloccava la carta, presentava denuncia all’Autorità Giudiziaria e proponeva reclamo all’intermediario chiedendo il rimborso di 170,00 euro, sostenendo l’assenza di colpa grave.

L’intermediario negava il rimborso, rilevando la regolarità dell’operazione, correttamente autorizzata e autenticata. Il ricorrente adiva quindi l’Arbitro chiedendo la condanna al rimborso. L’intermediario si costituiva chiedendo il rigetto, evidenziando che tutte le operazioni erano state autorizzate tramite SCA e realizzate personalmente dal cliente, seppur indotto in errore dal sito di e-commerce truffaldino.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nelle fonti sulla strong customer authentication — gli artt. 97 e 98 della PSD2, l’art. 10-bis del d.lgs. n. 11/2010, il Regolamento Delegato UE 2018/389 e i criteri interpretativi EBA — il parametro di valutazione della responsabilità del prestatore. La regola è che il PSP è escluso da responsabilità quando, avendo dato prova di utilizzare meccanismi di autenticazione forte, riesca anche a dimostrare una condotta dolosa o gravemente colposa dell’utente.

Il Collegio richiama l’orientamento del Collegio di Coordinamento ABF n. 22745 del 10 ottobre 2019: l’uso di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né la frode o la colpa grave dell’utente, essendo onere del prestatore fornire la relativa prova. L’intermediario, dunque, non si libera provando la mera regolarità formale delle transazioni, dovendo documentare gli elementi di fatto che caratterizzano le modalità esecutive dell’operazione.

Il Collegio distingue però i casi in cui il cliente ponga in essere le operazioni direttamente e personalmente: in tali ipotesi la fattispecie non è sussumibile nel d.lgs. n. 11/2010 (richiamando, ex multis, Coll. ABF Palermo n. 2090 del 4.2.2022, Coll. Palermo n. 10042 del 04.06.2020, Coll. Roma n. 4658/21 del 22.02.2021 e Coll. Roma n. 4962 del 23.3.2022). Per quanto la volontà del cliente possa essere viziata da raggiri di terzi, l’operazione effettuata personalmente dal titolare è considerata autorizzata (così Coll. ABF Milano n. 8602/2021). Non è configurabile una responsabilità oggettiva del PSP, ma solo una responsabilità concorrente quando emerga un apporto causale autonomo dell’intermediario.

Quanto all’obbligo di sms alert, il Collegio richiama il Coll. Coordinamento ABF n. 8853/2019, secondo cui l’intermediario può essere esonerato solo dimostrando l’esplicito rifiuto dell’utente, mentre la mancata attivazione costituisce di regola un profilo di responsabilità, salvo il caso di operazioni uniche o ravvicinate rispetto alle quali l’alert non sarebbe stato idoneo a evitare il pregiudizio.

Nel caso concreto, il ricorrente non ha contestato l’osservanza della procedura di SCA, l’operazione è stata autenticata tramite app installata sul device e l’utenza telefonica precedentemente securizzate, e la procedura risulta attestata sia per l’enrolling originario che per l’operazione di 170,00 euro. Il pagamento è stato quindi intenzionalmente autorizzato ed eseguito personalmente, si è trattato di operazione unica, non è emerso alcun apporto causale autonomo dell’intermediario e nessuna efficacia avrebbe avuto l’avviso di alert. Il Collegio esclude pertanto ogni responsabilità diretta dell’intermediario ai sensi del d.lgs. n. 11/2010 e neppure una responsabilità concorrente di diritto comune, non accogliendo il ricorso.