Truffa su Apple Pay o Google Pay: la carta clonata sul wallet di qualcun altro

Scritto da Mario Bellore, Co-fondatore di C&D Solutions — aggiornato il 16 luglio 2026

Uno schema di frode meno conosciuto ma in crescita: un SMS civetta ti induce a fornire credenziali, e il truffatore usa quei dati per tokenizzare la tua carta — cioè associarla — su un wallet digitale (Apple Pay, Google Pay, Samsung Pay) installato sul suo telefono, non sul tuo. Da quel momento paga con la tua carta come se fosse sua. La domanda decisiva è: quella tokenizzazione era protetta da un'autenticazione forte davvero conforme?

Due fasi distinte, due verifiche distinte

Il Collegio di Coordinamento ABF ha stabilito un principio importante su questi casi, distinguendo due momenti che vanno provati separatamente:

1. La tokenizzazione — l'associazione tra la tua carta, il wallet e il device del truffatore — richiede SCA piena. Il codice di sblocco del telefono (passcode o biometria) non è di per sé un fattore SCA valido in questa fase, a meno che il sistema della banca non lo abbia già associato univocamente a te attraverso una procedura conforme SCA.
2. I pagamenti successivi dal wallet già tokenizzato — qui il passcode o la biometria del device possono valere come secondo fattore SCA, ma solo a condizione che siano già stati usati, in modo univocamente associato a te, durante una tokenizzazione a sua volta conforme a SCA. Se questa premessa manca, il passcode non è utilizzabile nemmeno per la fase 2.

La conseguenza pratica è che la banca deve produrre due set di log distinti: quello della tokenizzazione (con OTP e credenziali di associazione) e quello di ogni singolo pagamento (con passcode/device). Se produce solo il secondo — il log dei pagamenti — l'onere della prova sulla fase decisiva, la tokenizzazione, non è assolto.

Cosa conta per la tua colpa grave in questi casi

In un caso deciso dal Coordinamento, la vittima aveva cliccato un link in uno SMS "civetta" inserito nello stesso thread di messaggi ufficiali della banca — elemento che di per sé attenuerebbe la colpa. Ma l'elemento causalmente decisivo, secondo il Collegio, è stato un altro: l'inerzia dopo un secondo SMS che confermava l'attivazione della carta sul wallet, senza che la vittima contattasse la banca per chiedere spiegazioni. Quel silenzio, in quel caso specifico, ha portato a riconoscere colpa grave piena. È un promemoria pratico: un alert che conferma un'attivazione che non riconosci va sempre verificato subito con la banca, anche se il messaggio precedente ti aveva già ingannato.

Cosa fare subito

1. Disconosci tutte le operazioni dal wallet non riconosciuto, senza indugio.
2. Chiedi alla banca entrambi i set di log: tokenizzazione e pagamenti (art. 119 TUB).
3. Denuncia alla Polizia Postale, allegando gli SMS ricevuti.
4. Se il reclamo è respinto, valuta il ricorso ABF.

S-BLOKKO™ è il servizio di C&D Solutions che verifica se una truffa o un'operazione bancaria non autorizzata dà diritto al rimborso: analizza log e prove fornite dalla banca e, se emergono violazioni PSD2/SCA, cura il reclamo e il ricorso all'Arbitro Bancario Finanziario.

Guide correlate: truffa bancaria: quando hai diritto al rimborso · phishing bancario e rimborso · colpa grave: cos'è davvero · reclamo alla banca: cosa scrivere.

Contenuto informativo, non costituisce consulenza legale o finanziaria personalizzata. Riferimenti principali: D.Lgs. 11/2010 art. 9 co. 2, 10; RTS EBA 2018/389 art. 24; ABF Coord. 9559/2024 (seduta 10/07/2024) su digital wallet e tokenizzazione. Ultimo aggiornamento: 16 luglio 2026.