Utilizzo fraudolento di carta di debito e mancata allegazione del messaggio civetta (ABF Collegio di Milano n. 3979 del 05.05.2026)

Principi di diritto (Massima)
Nei disconoscimenti di operazioni di pagamento on line, quando l’intermediario offre la prova dell’autenticazione forte della transazione tramite Strong Customer Authentication, il sistema risulta conforme e non emergono indici di anomalia, la mancata allegazione da parte del cliente delle circostanze di fatto della frode costituisce un elemento da cui il Collegio può trarre il convincimento circa la colpa grave del cliente medesimo. In particolare, l’omessa produzione del messaggio civetta — o, per il vishing, del registro delle chiamate — determina il rigetto del ricorso, perché non consente di verificare se il mittente o il chiamante sia riconducibile all’intermediario e se sia configurabile un legittimo affidamento dell’utente circa la genuinità delle comunicazioni ricevute. Il riparto dell’onere probatorio resta ancorato alla dimostrazione, da parte dell’intermediario, della corretta registrazione e contabilizzazione dell’operazione contestata.

Il Fatto

Il ricorrente afferma di essere stato derubato per un acquisto mai effettuato. Nella denuncia sostiene che, in data 05/11/2025, ignoti avrebbero clonato la sua carta di debito ed effettuato una transazione di € 307,45. Domanda, quindi, la restituzione della somma sottrattagli.

L’intermediario convenuto resiste. Sostiene che il cliente è titolare della carta abilitata al servizio di internet banking e che, nel modulo di disconoscimento, egli stesso ha riferito di avere ricevuto strane e-mail riferite all’importo dell’operazione, lasciando dedurre un raggiro ai suoi danni. Dai LOG risulta che l’operazione è stata disposta e validamente autorizzata tramite SCA con la carta del cliente, attraverso il dispositivo usualmente utilizzato, con notifica PUSH descrittiva della natura e dell’ammontare dell’operazione. Il cliente non ha mai denunciato smarrimento o furto della carta né del cellulare. L’intermediario domanda il rigetto del ricorso.

La motivazione del Collegio

Oggetto della controversia è un’operazione di pagamento in e-commerce di € 307,45, posta in essere il 05/11/2025 alle ore 11:34. Alla data trovava applicazione il D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.lgs. n. 218/17 di attuazione della direttiva 2015/2366/EU (PSD II). È agli atti la denuncia del cliente, presentata in data 08/11/2025.

Il Collegio esamina anzitutto l’autenticazione forte, la corretta registrazione e la contabilizzazione dell’operazione contestata. Dall’esame dei log informatici prodotti dall’intermediario risulta che la transazione è stata correttamente autenticata tramite i fattori del possesso del dispositivo identificato e della conoscenza del codice PIN inserito in risposta alla PUSH. La prova dell’autenticazione è dunque fornita.

Passando alla condotta delle parti e ai profili rilevanti per la valutazione della colpa, il Collegio osserva che il ricorrente non ha riferito nulla in merito alle modalità con le quali sarebbe avvenuto l’utilizzo fraudolento. Si è limitato a reiterare il disconoscimento dell’operazione, affermando che la propria carta sarebbe stata clonata.

Il Collegio richiama quindi l’orientamento dei Collegi ABF. Nelle contestazioni di utilizzi fraudolenti on line ricorrono tre presupposti: l’intermediario ha offerto la prova dell’autenticazione delle transazioni disconosciute; il sistema di pagamento risulta conforme alla SCA; non emergono indici di anomalia delle operazioni né ulteriori elementi. In tale contesto, le mancate allegazioni del cliente sulle circostanze di fatto della frode rappresentano un elemento da cui il Collegio può trarre il proprio convincimento, insieme ad altre circostanze, circa la colpa grave del cliente.

I Collegi sono unanimi nel ritenere che la mancata allegazione del messaggio civetta — o, per il vishing, del registro delle chiamate — debba determinare il rigetto del ricorso. Tale omissione non consente di verificare se il mittente o il chiamante risulti riconducibile all’intermediario e, dunque, se sia configurabile un legittimo affidamento dell’utente circa la genuinità del messaggio o della telefonata ricevuti. Il ricorso, pertanto, non è accolto.