Carte clonate e addebiti non autorizzati: la banca deve rimborsare, la Cassazione non ha dubbi

Sommario

• Le operazioni di pagamento non autorizzate — da clonazione della carta, furto, smarrimento, phishing o vishing — sono disciplinate dal D.Lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. 15 dicembre 2017, n. 218 (recepimento della Direttiva 2015/2366/UE, PSD2): il prestatore di servizi di pagamento ha l’obbligo di rimborsare immediatamente l’importo contestato, salvo che dimostri il dolo o la colpa grave del cliente.
• L’onere della prova grava per intero sulla banca: il cliente deve solo provare la fonte del proprio diritto e disconoscere l’operazione; spetta all’intermediario dimostrare di aver adottato le misure di sicurezza tecnicamente adeguate e che l’operazione è riconducibile alla volontà del titolare o a una sua colpa grave qualificata.
• La Cassazione, Sez. I, ordinanza n. 3780 del 12 febbraio 2024, ha distinto per la prima volta con chiarezza autenticazione tecnica e autorizzazione reale: il fatto che un’operazione risulti confermata con password o OTP non prova, di per sé, che sia stata voluta dal titolare.
• La Cassazione, Sez. I, ordinanza n. 23683 del 4 settembre 2024 (Pres. Scotti, Rel. Campese), ha consolidato il principio secondo cui la sottrazione fraudolenta delle credenziali rientra nel rischio d’impresa dell’intermediario, da valutare secondo il parametro dell’“accorto banchiere”: non basta alla banca negare di aver mai avuto accesso alle credenziali del cliente per liberarsi dalla responsabilità.
• L’Arbitro Bancario Finanziario ha ulteriormente affinato i criteri applicativi nel biennio 2025-2026, ammettendo — nella decisione ABF Roma, n. 1796 del 26 febbraio 2026 — un concorso di responsabilità tra banca e cliente quando entrambi abbiano tenuto condotte negligenti.
• Il limite di responsabilità del pagatore prima della comunicazione di blocco è contenuto in una franchigia massima di 50 euro, che tuttavia non si applica quando la banca non abbia richiesto l’autenticazione forte (SCA) o quando la perdita, il furto o l’appropriazione indebita dello strumento non fossero rilevabili dal titolare.
• Il termine per il disconoscimento dell’operazione non autorizzata è di 13 mesi dalla data dell’addebito; la banca deve rimborsare entro la giornata operativa successiva alla comunicazione, salvo motivato sospetto di frode comunicato per iscritto all’autorità competente.

Inquadramento normativo

La PSD2 e il D.Lgs. 11/2010: il quadro generale

La disciplina delle operazioni di pagamento non autorizzate trova la propria fonte nel D.Lgs. 27 gennaio 2010, n. 11, che ha originariamente recepito la prima direttiva sui servizi di pagamento (PSD1) e che è stato profondamente riformato dal D.Lgs. 15 dicembre 2017, n. 218, in attuazione della Direttiva UE 2015/2366 (PSD2, Payment Services Directive 2). Il sistema si applica a qualsiasi prestatore di servizi di pagamento — banche, Poste Italiane, istituti di pagamento e istituti di moneta elettronica — e a qualsiasi strumento di pagamento: carte di debito, carte di credito, bonifici disposti tramite home banking, wallet digitali (Apple Pay, Google Pay).

Il sistema si fonda su tre pilastri normativi, tra loro strettamente coordinati.

Il primo pilastro è l’art. 10 del D.Lgs. 11/2010, che disciplina l’onere della prova: quando l’utilizzatore disconosce di aver autorizzato un’operazione già eseguita, spetta al prestatore di servizi di pagamento dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha subito le conseguenze di un malfunzionamento tecnico o di altro inconveniente del servizio. La norma precisa espressamente, al comma 2, che la sola registrazione dell’utilizzo dello strumento di pagamento non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dal pagatore, né che questi abbia agito in modo fraudolento o non abbia adempiuto ai propri obblighi di custodia con dolo o colpa grave.

Il secondo pilastro è l’art. 10-bis, che introduce l’obbligo di autenticazione forte del cliente (Strong Customer Authentication, SCA): una procedura che si fonda su almeno due elementi indipendenti, appartenenti alle categorie della conoscenza (qualcosa che solo l’utente sa, come un PIN o una password), del possesso (qualcosa che solo l’utente ha, come lo smartphone su cui riceve un codice OTP) e dell’inerenza (qualcosa che l’utente è, come l’impronta digitale o il riconoscimento facciale). La SCA è richiesta non solo al momento della singola operazione di pagamento, ma anche nelle fasi di accesso al conto online, di registrazione (enrollment) dell’app bancaria e di registrazione della carta su un wallet digitale — fasi che, se prive di autenticazione forte, espongono l’intero rapporto a un rischio di frode che la giurisprudenza più recente pone a carico dell’intermediario.

Il terzo pilastro è l’art. 11, che disciplina la responsabilità del pagatore per operazioni non autorizzate derivanti da smarrimento, furto o appropriazione indebita dello strumento di pagamento. Fino al momento della comunicazione di blocco, il pagatore può essere chiamato a sopportare le perdite relative a tali operazioni entro un limite massimo di 50 euro. Questa franchigia, tuttavia, non si applica affatto in tre ipotesi rilevanti: quando la perdita, il furto o l’appropriazione indebita dello strumento non fossero rilevabili dal pagatore prima del pagamento; quando la perdita sia stata causata da atti o omissioni di un dipendente, di un agente o di una succursale del prestatore di servizi; e — ipotesi di crescente rilievo pratico — quando il prestatore non abbia richiesto l’autenticazione forte del cliente per l’operazione contestata. Dopo la comunicazione di blocco, il pagatore non sopporta più alcuna conseguenza economica delle operazioni successive, salvo il caso in cui abbia agito con dolo.

L’obbligo di rimborso immediato: l’art. 12

L’art. 12 del D.Lgs. 11/2010 stabilisce la conseguenza pratica più immediata per il consumatore: in caso di disconoscimento di un’operazione di pagamento non autorizzata, il prestatore di servizi di pagamento rimborsa immediatamente l’importo, e comunque entro la fine della giornata operativa successiva a quella in cui ha ricevuto la comunicazione, riportando il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l’operazione non fosse stata eseguita. L’unica eccezione a questo obbligo di rimborso immediato è il motivato sospetto di frode, che il prestatore deve tuttavia comunicare per iscritto all’autorità nazionale competente: non è quindi sufficiente un generico dubbio interno della banca per sospendere il rimborso, ma occorre un atto formale e documentato.

I termini per il disconoscimento

Il disconoscimento dell’operazione non autorizzata deve essere effettuato senza ritardo ingiustificato dal momento in cui il cliente ne viene a conoscenza, e in ogni caso entro tredici mesi dalla data di addebito, a pena di decadenza dal diritto alla rettifica. Questo termine, relativamente ampio, riflette la consapevolezza del legislatore europeo che le frodi informatiche — specie quelle realizzate mediante clonazione di carte utilizzate solo occasionalmente, o mediante addebiti di importo contenuto e ripetuto — possono essere scoperte dal titolare con un certo ritardo rispetto alla loro effettiva esecuzione.

La qualificazione della responsabilità bancaria: natura contrattuale

Un punto fermo, ormai pacifico in giurisprudenza, è la natura contrattuale della responsabilità della banca per le operazioni di pagamento non autorizzate, discendente dal contratto-quadro di conto corrente e dal collegato contratto di emissione della carta. Questa qualificazione ha una conseguenza processuale di enorme rilievo pratico, in applicazione dei principi generali sull’art. 1218 c.c.: il cliente è tenuto soltanto a provare la fonte del proprio diritto — l’esistenza del rapporto contrattuale — e a disconoscere l’operazione, mentre è la banca, quale debitore della prestazione di custodia e di corretta esecuzione del servizio di pagamento, a dover provare il fatto estintivo della pretesa, ossia di aver adempiuto con la diligenza dovuta.

La giurisprudenza di riferimento

La svolta del 2024: le ordinanze n. 3780 e n. 23683

Il biennio 2024-2026 segna una svolta interpretativa di portata sistematica nella giurisprudenza di legittimità in materia di operazioni di pagamento non autorizzate, culminata in due pronunce della Prima Sezione della Cassazione che hanno riequilibrato in modo significativo il riparto delle responsabilità tra intermediario e cliente.

Con ordinanza n. 3780 del 12 febbraio 2024, la Cassazione — decidendo un caso relativo a una frode su una carta Postepay — ha per la prima volta enunciato con chiarezza la distinzione tra autenticazione tecnica e autorizzazione reale: la circostanza che un’operazione risulti confermata mediante password, PIN o codice OTP non equivale automaticamente alla prova che quell’operazione sia stata effettivamente voluta dal titolare. La Corte ha richiamato il principio della diligenza professionale qualificata ex art. 1176, comma 2, c.c., affermando che i prestatori di servizi di pagamento devono adottare misure tecniche adeguate a prevenire gli accessi illeciti, secondo lo standard del cosiddetto “accorto banchiere”.

Con ordinanza n. 23683 del 4 settembre 2024 (Pres. Scotti, Rel. Campese), la Prima Sezione ha consolidato e sviluppato questo principio in un caso di prelievi fraudolenti tramite carta bancomat per un importo complessivo di 5.725,06 euro. Il Tribunale di Salerno e, in appello, la Corte d’Appello di Salerno avevano rigettato la domanda della correntista, ritenendo non provata la clonazione della carta e ipotizzando, in via presuntiva, che i prelievi fossero stati effettuati da familiari a conoscenza del PIN. La Cassazione ha cassato la sentenza, rilevando anzitutto una contraddizione motivazionale: la Corte d’Appello aveva distinto tra “uso fraudolento” e “clonazione”, affermando che solo quest’ultima avrebbe potuto fondare la responsabilità della banca, per poi rigettare la domanda proprio per mancata prova della clonazione — un ragionamento circolare e non conforme ai principi sulla responsabilità contrattuale dell’intermediario.

Sul piano sostanziale, la Cassazione ha ribadito che, qualificata in termini contrattuali la responsabilità della banca, la diligenza richiesta al professionista ha natura tecnica e va valutata tenendo conto dei rischi tipici della sfera professionale di riferimento, assumendo come parametro quello dell’accorto banchiere: la condotta della banca, per esonerarla da responsabilità, deve collocarsi al di là delle possibilità di prevedibilità ed evitabilità esigibili da un operatore professionale qualificato. La Corte ha inoltre affermato — principio di importanza cruciale per la prassi — che non si può presumere la colpa grave del cliente dalla semplice conoscenza del PIN da parte di un terzo: spetta sempre alla banca provare in concreto la colpa grave nella custodia degli strumenti di pagamento, non potendo tale colpa essere dedotta automaticamente dal fatto che l’operazione fraudolenta sia stata autenticata correttamente.

La sintesi di questo nuovo orientamento è che la sottrazione fraudolenta delle credenziali di pagamento rientra nel rischio d’impresa dell’intermediario: per liberarsi dalla responsabilità, la banca deve dimostrare il verificarsi di eventi che si collocano al di là dello sforzo diligente ragionevolmente esigibile, e non può limitarsi a negare di aver mai avuto accesso alle credenziali del cliente o a esibire i meri log di sistema come prova sufficiente dell’autorizzazione.

L’Arbitro Bancario Finanziario: l’affinamento del biennio 2025-2026

L’Arbitro Bancario Finanziario ha proseguito, nel corso del 2025 e del 2026, l’opera di specificazione pratica dei principi sanciti dalla Cassazione, offrendo indicazioni di dettaglio particolarmente utili per la gestione dei casi concreti.

Con la decisione ABF Milano, n. 8783 del 2 ottobre 2025 (Pres. Tina, Rel. Dell’Anna Misurale), il Collegio si è pronunciato su un ricorso relativo al disconoscimento di 38 operazioni di pagamento non autorizzate, effettuate con carte di pagamento a seguito del furto del portafoglio del ricorrente. L’intermediario sosteneva che le transazioni fossero state correttamente autenticate mediante SCA. Il Collegio ha tuttavia rilevato che l’intermediario non aveva fornito prova della corretta autenticazione per nove delle operazioni contestate, avendo omesso la produzione dei relativi log di sistema: per queste specifiche operazioni, l’onere della prova non è stato assolto, con conseguente accoglimento del ricorso limitatamente a esse.

Con le decisioni ABF Milano, nn. 5834 e 5837 del 16 giugno 2025 (Pres. Tina, Rel. Modica), il Collegio meneghino ha ulteriormente precisato l’ambito applicativo dell’art. 10-bis in due casi di operazioni effettuate con carta di debito rubata: l’autenticazione forte è richiesta non solo per la singola operazione, ma anche nelle fasi di accesso al conto, di enrollment dell’app e di registrazione della carta su un wallet digitale. La mancata applicazione della SCA in una qualsiasi di queste fasi preliminari compromette la posizione probatoria della banca anche per le operazioni successivamente eseguite.

Con la decisione ABF Roma, n. 1796 del 26 febbraio 2026 (Pres. Sirena, Rel. Mastrorosa), il Collegio capitolino si è pronunciato su un caso di particolare complessità, relativo a pagamenti non autorizzati eseguiti da terzi tramite l’applicazione bancaria del cliente. Il Collegio ha affermato un principio di notevole rilievo sistematico: quando il cliente gestisce con negligenza lo strumento di pagamento e, contestualmente, l’intermediario omette di predisporre adeguati sistemi di monitoraggio e blocco delle operazioni manifestamente anomale, entrambi rispondono del danno in via concorsuale. Nel caso di specie, il Collegio ha richiamato un proprio precedente (decisione n. 2476/23) secondo cui la colpa grave dell’utilizzatore deve essere esclusa quando questi sia stato “violentemente spogliato” dello strumento di pagamento e delle relative credenziali — richiamando, sul piano penalistico, la giurisprudenza di legittimità che qualifica l’induzione di uno stato di incapacità mediante somministrazione di alcol o stupefacenti come circostanza aggravante del delitto di rapina (Cass. pen., Sez. IV, 17 marzo 2021, n. 11734; Cass. pen., Sez. II, 18 maggio 2018, n. 41005). Nondimeno, valorizzando le circostanze concrete del caso e richiamando un precedente conforme (decisione n. 18934/2019), il Collegio ha ravvisato anche una condotta negligente del cliente nella gestione del mezzo di pagamento, ritenendo che tale condotta avesse concorso a determinare il danno, con conseguente responsabilità concorrente e rimborso solo parziale.

Tabella sinottica delle pronunce citate

Organo	Data	N.	Principio affermato	Esito
Cass. civ., Sez. I	12 febbraio 2024	ord. n. 3780	L’autenticazione tecnica (OTP, password) non equivale all’autorizzazione reale; diligenza dell'”accorto banchiere” ex art. 1176, c. 2, c.c.	Responsabilità della banca per omessa prevenzione della frode
Cass. civ., Sez. I	4 settembre 2024	ord. n. 23683 (Pres. Scotti, Rel. Campese)	La frode informatica rientra nel rischio d’impresa dell’intermediario; la colpa grave del cliente non si presume dalla mera conoscenza del PIN da parte di un terzo	Cassazione della sentenza di merito, rinvio per nuovo esame
ABF Milano	2 ottobre 2025	n. 8783 (Pres. Tina, Rel. Dell’Anna Misurale)	La mancata produzione dei log di autenticazione per specifiche operazioni comporta il mancato assolvimento dell’onere della prova da parte della banca	Accoglimento parziale del ricorso per le operazioni non documentate
ABF Milano	16 giugno 2025	nn. 5834 e 5837 (Pres. Tina, Rel. Modica)	La SCA è richiesta anche nelle fasi di accesso al conto, enrollment app e registrazione carta su wallet, non solo per la singola operazione	Precisazione dell’ambito applicativo dell’art. 10-bis
ABF Roma	26 febbraio 2026	n. 1796 (Pres. Sirena, Rel. Mastrorosa)	Concorso di responsabilità tra banca e cliente quando entrambi abbiano tenuto condotte negligenti (omesso monitoraggio vs. gestione negligente dello strumento)	Rimborso parziale per responsabilità concorrente

Il caso concreto: fattispecie tipiche

La clonazione della carta fisica: il prelievo a insaputa del titolare

La fattispecie più tradizionale è quella della clonazione della banda magnetica o del chip della carta — spesso realizzata mediante dispositivi (“skimmer”) applicati agli sportelli bancomat o ai POS manomessi — che consente al truffatore di realizzare una copia funzionante della carta, utilizzata poi per prelievi o pagamenti a insaputa del titolare, il quale conserva la carta originale nel proprio portafoglio. È esattamente la fattispecie decisa dalla Cassazione n. 23683/2024: il titolare non si è mai reso conto di nulla fino alla verifica dell’estratto conto, e la banca non può opporgli il mero fatto che le operazioni siano risultate “tecnicamente” autenticate.

Il furto o lo smarrimento con utilizzo prima del blocco

Una seconda fattispecie riguarda il furto o lo smarrimento della carta, seguiti da un utilizzo fraudolento prima che il titolare abbia comunicato il blocco. In questo caso trova applicazione il regime specifico dell’art. 11: la responsabilità del titolare è contenuta, in linea di principio, entro la franchigia di 50 euro — mentre le eventuali operazioni successive alla comunicazione di blocco sono interamente a carico della banca, salvo dolo del cliente. È questa la fattispecie decisa dall’ABF Milano con la decisione n. 8783/2025: il ricorrente, derubato del portafoglio, si è visto addebitare 38 operazioni, di cui almeno nove risultate prive di adeguata prova di autenticazione da parte della banca.

Il phishing e il vishing: quando il consenso è viziato dall’inganno

Una terza fattispecie, di crescente diffusione, riguarda le truffe di phishing (messaggi email o SMS ingannevoli) e vishing (telefonate con finto operatore bancario), in cui è lo stesso titolare a digitare le proprie credenziali o a confermare un codice OTP, indotto in errore dal truffatore che si spaccia per la banca. In questi casi si pone un problema concettuale delicato: se è stato il cliente stesso a fornire i codici, si può ancora parlare di operazione “non autorizzata”? La risposta della giurisprudenza più recente è affermativa: un consenso estorto con l’inganno — carpito attraverso un sito clonato o simulando l’intervento della banca — non è un consenso valido ai fini della disciplina sui servizi di pagamento. Anche quando è materialmente l’utente a digitare le credenziali, se lo fa perché indotto in errore da artifizi e raggiri, l’operazione resta “non autorizzata” ai sensi di legge. L’ABF, in numerose decisioni su spoofing e vishing, tende a escludere la colpa grave quando la comunicazione fraudolenta non presentava segnali di allarme evidenti, ripartendo spesso la responsabilità tra le parti con un rimborso parziale (concorso di colpa), secondo lo schema poi confermato in termini generali dalla decisione ABF Roma n. 1796/2026.

Il percorso motivazionale dei giudici

Da “colpa del cliente” a “rischio d’impresa della banca”: l’evoluzione del paradigma

Fino a tempi relativamente recenti, una parte della giurisprudenza di merito tendeva ad accogliere un approccio più permissivo verso gli istituti di credito: se la banca dimostrava di disporre di sistemi di sicurezza certificati e conformi agli standard di settore, le conseguenze di un utilizzo fraudolento venivano spesso addossate al cliente, sul presupposto — non sempre esplicitato ma sotteso a molte decisioni — che “se ho inserito io i codici, la colpa è mia”. Le ordinanze della Cassazione del 2024 segnano un cambio di paradigma esplicito: la sottrazione fraudolenta dei codici, per quanto sofisticata, rientra nei rischi tipici dell’attività bancaria online — rischi che l’intermediario, in quanto professionista qualificato, ha il dovere di prevedere e neutralizzare attraverso investimenti tecnologici adeguati, e non di scaricare sistematicamente sul cliente attraverso una lettura estensiva del concetto di colpa grave.

Questo approccio è stato descritto da una parte della dottrina come un avvicinamento del regime di responsabilità dell’intermediario finanziario a un modello quasi-oggettivo, in cui l’esonero dalla responsabilità richiede la prova di circostanze eccezionali che si collochino oltre la soglia della prevedibilità e dell’evitabilità propria di un operatore professionale qualificato — un modello concettualmente affine, pur nella diversità della base normativa, a quello elaborato per le attività pericolose ai sensi dell’art. 2050 c.c., talvolta richiamato in dottrina e in alcune pronunce di merito con riferimento proprio all’attività bancaria digitale.

Il concorso di colpa come temperamento del sistema

La decisione ABF Roma n. 1796/2026 introduce un elemento di equilibrio in questo sistema, chiarendo che il riconoscimento della responsabilità primaria della banca non esclude, nei casi appropriati, un concorso di colpa del cliente quando la sua condotta — ad esempio la conservazione del PIN insieme alla carta, o la comunicazione delle credenziali a terzi senza alcuna cautela — abbia oggettivamente contribuito al verificarsi del danno, specie quando tale condotta si collochi al di là di una mera disattenzione e integri uno scostamento grave dalla diligenza minima esigibile. Il sistema, in altre parole, non premia l’incuria manifesta del cliente, ma impedisce che l’intermediario si liberi dalla propria responsabilità primaria semplicemente allegando una qualsiasi imperfezione nella condotta dell’utente.

Consigli operativi

Il titolare che scopra un addebito non riconosciuto sulla propria carta deve agire con rapidità e precisione procedurale, poiché sia l’efficacia della tutela sia l’ampiezza della responsabilità della banca dipendono in misura significativa dalla tempestività delle azioni compiute.

Primo passo — Bloccare la carta senza indugio. La comunicazione di blocco è l’atto più urgente e più importante: azzera, salvo dolo, ogni responsabilità del titolare per le operazioni successive. È opportuno effettuare la comunicazione con un canale che ne conservi traccia (app bancaria con timestamp, registrazione della chiamata al numero verde, email di conferma) e annotare con precisione l’orario.

Secondo passo — Conservare ogni elemento di prova. Screenshot dell’estratto conto con le operazioni contestate, notifiche push ricevute (o non ricevute) al momento dell’operazione, eventuali comunicazioni sospette ricevute prima della frode (email di phishing, SMS di smishing, chiamate di vishing). Questi elementi sono decisivi per dimostrare, se necessario, che non vi è stata alcuna colpa grave nella custodia degli strumenti.

Terzo passo — Formalizzare il disconoscimento entro i termini. La comunicazione di disconoscimento deve essere inviata con modalità tracciabile, indicando con precisione le operazioni contestate (data, importo, esercente) e dichiarando espressamente di non averle autorizzate. Il termine di 13 mesi dalla data dell’addebito è perentorio: superarlo comporta la decadenza dal diritto alla rettifica.

Quarto passo — Verificare l’effettivo rispetto dell’obbligo di rimborso immediato. Se la banca non rimborsa entro la giornata operativa successiva alla comunicazione, e non ha comunicato per iscritto all’autorità competente un motivato sospetto di frode, il ritardo costituisce di per sé un inadempimento autonomamente contestabile.

Quinto passo — Pretendere la prova tecnica completa in caso di rifiuto. Se la banca rifiuta il rimborso sostenendo che l’operazione era regolarmente autenticata, è legittimo richiedere formalmente la produzione integrale dei log di autenticazione relativi a ciascuna operazione contestata: come dimostra la decisione ABF Milano n. 8783/2025, l’assenza di questa documentazione equivale al mancato assolvimento dell’onere della prova da parte dell’intermediario.

Sesto passo — Attivare l’ABF o la via giudiziaria. Il ricorso all’Arbitro Bancario Finanziario è gratuito per il cliente, non richiede l’assistenza obbligatoria di un legale ed è generalmente definito entro pochi mesi; è la via più efficiente per controversie di valore fino a 200.000 euro. Per importi superiori, o quando la complessità tecnica del caso lo richieda, resta sempre disponibile l’azione ordinaria davanti al Tribunale del domicilio del consumatore.

Considerazioni finali

L’evoluzione giurisprudenziale degli ultimi due anni ha segnato un riequilibrio significativo, e per molti versi atteso, nel rapporto tra banche e correntisti vittime di frodi informatiche. Il principio secondo cui la sottrazione fraudolenta delle credenziali di pagamento rientra nel rischio d’impresa dell’intermediario — e non in un generico e presunto difetto di attenzione del cliente — restituisce coerenza a un sistema normativo, quello della PSD2, che era nato proprio con l’obiettivo di spostare sui professionisti del settore l’onere di investire in sicurezza, anziché scaricare sistematicamente sui consumatori le conseguenze di tecniche di frode sempre più sofisticate.

Resta tuttavia essenziale, per il consumatore, comprendere che questa tutela non è incondizionata: la decisione ABF Roma n. 1796/2026 dimostra come una condotta gravemente negligente — la comunicazione delle credenziali a terzi, l’annotazione del PIN sulla carta stessa — possa ancora fondare, in tutto o in parte, la responsabilità del titolare, specie quando concorra con un’omissione della banca. Il sistema premia dunque non l’assenza totale di ogni imperfezione umana, ma l’assenza di uno scostamento grave dalla diligenza minima esigibile, valutato sempre in concreto e con onere della prova a carico dell’intermediario.

Sul piano prospettico, l’affinamento continuo dei criteri applicativi della SCA — con l’attenzione crescente dell’ABF alle fasi di enrollment e di registrazione su wallet digitali — suggerisce che il contenzioso dei prossimi anni si sposterà sempre di più dal terreno della singola operazione fraudolenta a quello della robustezza complessiva dell’architettura di sicurezza predisposta dall’intermediario: un banco di prova che, alla luce dell’orientamento ormai consolidato della Cassazione, le banche italiane non potranno permettersi di sottovalutare.