Il pacco è partito, la consegna risulta avvenuta, il cliente ha persino scritto per ringraziare. Settimane dopo, però, quell’addebito viene contestato come «operazione non riconosciuta», l’importo è stornato e al venditore resta il danno più la commissione di disputa. Nessun ladro di carte: a contestare è lo stesso acquirente che ha comprato e ricevuto la merce. È il friendly fraud, la «frode amichevole» — nome ingannevole per un fenomeno tutt’altro che amichevole. Non si elimina, ma se ne può ridurre l’incidenza e ribaltarne molti casi, a patto di distinguere la malafede dall’errore e di aver costruito prima le prove che serviranno dopo.
Che cos’è il friendly fraud (e perché è così difficile da arginare)
Si parla di friendly fraud — o, più correttamente, di first-party misuse — quando a chiedere lo storno è il titolare stesso della carta, su un acquisto realmente effettuato. Le forme ricorrenti sono tre: il classico «non riconosco questa operazione» davanti a un addebito autorizzato; il «non ho mai ricevuto nulla» a fronte di una merce consegnata; l’acquisto compiuto da un familiare — spesso un figlio minore che usa la carta salvata sullo smartphone o su una console — poi disconosciuto dal titolare che «non ne sapeva niente».
Il meccanismo del chargeback e i termini di risposta li abbiamo già descritti nella guida al chargeback per chi vende: qui interessa il perché questa categoria pesi tanto su chi vende. La ragione è strutturale: contestare alla propria banca è facile, gratuito e rapido, mentre per il venditore difendersi è oneroso e incerto. Il fenomeno è abbastanza rilevante da aver indotto Visa a introdurre criteri appositi, di cui si dirà più avanti, che consentono al venditore di far valere la storia di acquisti regolari dello stesso titolare.
Buona fede o malafede: una distinzione che cambia tutto
Prima di parlare di «frode» conviene fermarsi, perché gran parte dei disconoscimenti nasce da un equivoco, non da un inganno. Il cliente non riconosce la voce in estratto conto perché il descrittore del venditore è oscuro o diverso dal nome del negozio; oppure ha dimenticato un abbonamento; oppure l’acquisto lo ha fatto un familiare a sua insaputa. In questi casi non c’è dolo, ma un difetto di comunicazione, e la soluzione non è la risposta aggressiva bensì la trasparenza e un contatto tempestivo.
La malafede è un’altra cosa: il cliente che sa di aver comprato e ricevuto, e ciononostante dichiara il falso alla banca per ottenere merce e denaro insieme. Distinguere i due profili è la prima mossa difensiva, perché cambia la risposta: con l’acquirente in buona fede si chiarisce e spesso si evita la disputa; con quello in malafede si oppongono le prove, dove ci sono, o si valuta freddamente il rimborso. Trattare ogni contestazione come una frode — o, all’opposto, cedere sempre — sono i due errori speculari che il metodo serve a evitare, come illustrato nell’approfondimento sulle strategie per limitare e vincere le contestazioni.
I segnali: leggere il comportamento d’ordine
La malafede lascia tracce. Nessun singolo indizio è una prova, ma alcuni pattern ricorrono: il disconoscimento che arriva subito dopo la consegna confermata; il cliente con una cronologia di contestazioni ripetute; l’indirizzo di consegna coincidente con quello di fatturazione e con acquisti precedenti mai contestati; la «merce non ricevuta» smentita da un tracking con prova di consegna e, magari, da messaggi in cui lo stesso cliente lamentava un difetto — ammettendo così di aver ricevuto il bene.
Questi segnali non servono a «schedare» il cliente, ma a decidere dove difendersi, e vanno letti su dati raccolti in modo lecito e proporzionato nel rispetto del GDPR: solo ciò che serve alla finalità difensiva, dichiarato nell’informativa e conservato per un tempo coerente con le finestre di contestazione.
Il contrattacco lecito: prove, autenticazione, dialogo
Il representment — la risposta documentata alla disputa — non si improvvisa. Le prove che pesano — consegna tracciata, prova di consegna, log di accesso, consenso al checkout, comunicazioni con il cliente — sono trattate nella guida al chargeback: qui basti il principio, valido per tutte le contestazioni, che le prove si progettano prima, non si cercano dopo.
Sul fronte specifico del disconoscimento, due leve contano più delle altre. La prima è l’autenticazione forte del cliente (SCA/3D Secure): applicata correttamente, sposta di regola sull’emittente la responsabilità per la frode «non riconosciuta», e il «non l’ho autorizzato io» perde mordente. La seconda, pensata proprio contro il first-party misuse, sono le regole Visa note come Compelling Evidence 3.0, riservate a una specifica categoria di dispute per frode (codice 10.4): documentando almeno due precedenti transazioni non contestate eseguite con lo stesso strumento di pagamento, vecchie di almeno 120 giorni e di non più di un anno, e la coincidenza di almeno due dati — uno dei quali dev’essere l’indirizzo IP o l’identificativo del dispositivo — aumentano le possibilità che l’emittente chiuda la disputa a favore del venditore. È uno scudo per i clienti ricorrenti, ma funziona solo se quei dati (IP, dispositivo, account, e-mail, indirizzo di consegna) sono stati raccolti fin dall’inizio.
C’è poi una mossa che precede la disputa e la disinnesca: il dialogo con il cliente. Un contatto cortese e tempestivo — «vediamo insieme questo addebito, corrisponde all’ordine del giorno X consegnato all’indirizzo Y» — risolve gran parte dei disconoscimenti in buona fede prima che diventino chargeback, e talvolta induce chi è in malafede a ritirare la contestazione.
Il cenno penale: la falsa dichiarazione non è senza conseguenze
Una precisazione, da maneggiare con misura e mai come minaccia. Chi dichiara alla banca di non aver autorizzato un’operazione che invece ha compiuto, per ottenere lo storno di un acquisto realmente ricevuto, rende una falsa dichiarazione finalizzata a un profitto ingiusto con altrui danno: una condotta che, in astratto, può rilevare anche sul piano penale, ad esempio come truffa (art. 640 del codice penale). È un dato informativo, non uno strumento di pressione: il venditore non è un’autorità inquirente. Nei casi seri e documentati la strada corretta è rivolgersi alle autorità competenti, non la minaccia in chat: la truffa, nell’ipotesi base, è procedibile a querela della persona offesa.
Quando il rimborso resta la scelta razionale
Difendersi ha un costo. Per gli importi contenuti, tra commissione di disputa e tempo dedicato, il rimborso volontario è spesso la scelta più sensata, anche davanti a un cliente probabilmente in malafede — meglio ancora se disposto prima che la contestazione diventi chargeback, perché una disputa, una volta aperta, entra comunque nel dispute ratio qualunque ne sia l’esito: è il rapporto tra dispute e transazioni che, se sale, fa scattare programmi di monitoraggio e costi maggiori. La regola: si contesta dove le prove sono solide e l’importo lo giustifica; si rimborsa dove il conto non torna. Dire sempre di no non è una difesa, è un modo per perdere tempo e reputazione insieme.
Cosa dice la giurisprudenza
Perché il disconoscimento non «vinca» da solo occorre capire su chi grava la prova. È il tema affrontato dalla decisione n. 9559 del 4 settembre 2024 del Collegio di Coordinamento dell’Arbitro Bancario Finanziario (Pres. Maugeri, Rel. Cipriani), l’organo dell’ABF al quale il Collegio di Roma aveva rimesso la questione per la sua particolare importanza e per evitare contrasti interpretativi. Il caso: la titolare di una carta disconosceva una serie di operazioni non autorizzate, eseguite dopo che lo strumento era stato «tokenizzato» — cioè caricato — in un wallet digitale su un dispositivo non suo; si discuteva se il codice di sblocco del telefono potesse valere come uno dei fattori dell’autenticazione forte.
Il Collegio ha ribadito il regime dell’onere della prova dell’art. 10 del D.Lgs. 11/2010: di fronte a un disconoscimento, il prestatore di servizi di pagamento deve anzitutto dimostrare che l’operazione è stata autenticata, correttamente registrata e contabilizzata — la prova dell’autenticazione forte «in tutte le fasi rilevanti» viene prima di ogni altra verifica — e solo dopo può liberarsi provando il dolo o la colpa grave dell’utente. Sul merito, ha affermato che perfino il codice di sblocco del dispositivo può costituire un valido fattore di autenticazione, purché preventivamente associato in modo univoco all’utente in fase di tokenizzazione, con procedura conforme alla SCA. Nel caso concreto il ricorso è stato respinto: l’intermediario aveva documentato con i log l’autenticazione forte in ogni passaggio e, in più, è stata accertata la colpa grave della titolare, che aveva assecondato un SMS-esca e ignorato l’avviso di attivazione della carta sul wallet.
La decisione riguarda il rapporto tra il titolare e la sua banca in una frode commessa da terzi, non il chargeback né il venditore; ma il metodo è quello che governa ogni disconoscimento, e il messaggio per chi vende è netto: il «non riconosco l’operazione» non è una formula magica. Chi riceve la contestazione verifica anzitutto se l’operazione è stata autenticata; il Collegio avverte però che la prova dell’autenticazione, da sola, non basta a porre l’operazione a carico del cliente: serve anche la prova del suo dolo o della sua colpa grave. Esempio: ordine da 250 euro pagato con 3D Secure e poi disconosciuto; se l’autenticazione forte è documentata, per le regole dei circuiti la contestazione per frode di regola non ricade sul venditore, e sarà l’emittente a dover valutare il disconoscimento del proprio cliente. Lo stesso ordine incassato rinunciando all’autenticazione forte, invece, espone il merchant. Il quadro, peraltro, è in movimento: sul nuovo regolamento europeo sui servizi di pagamento (PSR), proposto dalla Commissione nel giugno 2023, Parlamento e Consiglio hanno raggiunto un accordo politico il 27 novembre 2025, ma a fine settembre 2026 l’atto non risulta ancora adottato in via definitiva né pubblicato nella Gazzetta ufficiale dell’Unione; fino a quando non sarà applicabile, il riferimento resta il D.Lgs. 11/2010.
La difesa dal friendly fraud, come dal chargeback in generale, si costruisce nel checkout e nei documenti: è il lavoro che svolgiamo nella consulenza per chi vende online, coordinando autenticazione, prove e condizioni di vendita, incluse le regole sul recesso e i casi in cui è lecito escluderlo.
Domande frequenti
Il friendly fraud è un reato? Dipende dalla condotta. Il disconoscimento in buona fede — perché non si riconosce il descrittore o l’acquisto l’ha fatto un familiare — non è illecito. La falsa dichiarazione consapevole, resa per ottenere lo storno di un acquisto realmente ricevuto, può invece rilevare come truffa (art. 640 c.p.). Il venditore, però, non è un giudice: valuta le prove e, nei casi gravi, sporge querela.
Se il cliente dice «non l’ho autorizzato io» devo per forza subire lo storno? No. La banca emittente deve provare che l’operazione era autenticata: se il pagamento è stato incassato con autenticazione forte (3D Secure) e i log lo documentano, la responsabilità per la frode disconosciuta si sposta di regola sull’emittente. Quando invece è il venditore, o il suo prestatore di servizi di pagamento, a non accettare l’autenticazione forte, il rischio resta di regola dalla sua parte.
Un figlio minore ha usato la carta del genitore: chi paga? È un’ipotesi tipica di first-party misuse, senza risposta automatica: contano l’autenticazione applicata, la coincidenza tra dispositivo, indirizzo e cronologia d’acquisto, e le prove raccolte. Spesso il contatto diretto con il titolare chiarisce la vicenda meglio di qualunque disputa formale, e per gli importi contenuti il rimborso resta comunque la scelta più razionale.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.