Borseggio digitale: come avviene e come difendersi con il RFID

• Il borseggio digitale è il furto di dati o denaro tramite la tecnologia RFID/NFC delle carte contactless, spesso confuso con tecniche più insidiose come lo skimming e il phishing.
• Dal punto di vista penale, la condotta rientra nel furto aggravato dalla destrezza (art. 625 c.p.) quando c’è un impossessamento fisico, oppure nell’indebito utilizzo di strumenti di pagamento (art. 493-ter c.p.) quando i dati vengono sfruttati per operazioni fraudolente.
• La vittima di un’operazione non autorizzata ha diritto al rimborso da parte della banca, salvo una franchigia massima di 50 euro in caso di colpa (art. 10, 11 e 12 del D.Lgs. 11/2010).

Il termine “borseggio digitale” descrive, nel linguaggio comune, il furto di dati di pagamento realizzato avvicinando un lettore RFID a una carta contactless, senza che la vittima se ne accorga. È l’evoluzione tecnologica del borseggio tradizionale: cambia lo strumento, non l’obiettivo, che resta l’appropriazione indebita di un bene altrui.

Le carte contactless emettono un segnale attraverso il chip RFID (Radio Frequency Identification), leggibile da un lettore compatibile a pochi centimetri di distanza. Questa caratteristica, pensata per rendere i pagamenti più rapidi, ha alimentato il timore che chiunque possa clonare o utilizzare una carta semplicemente passandole vicino uno scanner, anche attraverso una borsa o un portafoglio. Vediamo meglio come funziona e come tutelarti.

Come funziona realmente lo skimming RFID

Le carte EMV contactless oggi in circolazione non trasmettono un codice statico e riutilizzabile: il chip genera per ogni transazione un codice crittografico dinamico, valido una sola volta. Anche riuscendo a intercettare questo dato, un criminale non potrebbe replicarlo per un pagamento successivo.

Chi si avvicina con uno scanner RFID può leggere informazioni come il numero della carta e la data di scadenza, ma non ottiene il PIN né il codice di sicurezza CVV, entrambi indispensabili per completare la maggior parte delle transazioni. Per questo motivo lo skimming RFID puro è un fenomeno documentato ma raro: i malintenzionati preferiscono in larga parte tecniche più efficaci come il phishing, il malware o l’acquisto di dati già compromessi in violazioni di database aziendali, secondo le analisi disponibili sul tema.

Il rischio più concreto resta un altro: il furto fisico della carta, seguito da un utilizzo rapido per pagamenti contactless sotto soglia, senza necessità di PIN. È qui che il diritto penale interviene con maggiore nitidezza.

Ti potrebbe interessare anche Furto di account sui social: cosa si rischia e come difendersi

Vuoi una consulenza legale sull'argomento? Chiedi Gratis ad un Avvocato

• +3000 avvocati pronti ad ascoltarti
• Consulenza Legale Online - Telefonica, in webcam, scritta o semplice preventivo gratuito
• Anonimato e Riservatezza - La tua consulenza verrà letta solo dall'avvocato che accetterà di rispondere

Richiedi una Consulenza

Quando il borseggio digitale è reato

Quando il borseggio digitale comporta la sottrazione materiale della carta – per esempio sfilandola da una tasca o da una borsa con abilità tale da eludere l’attenzione della vittima – si applica l’articolo 625 del Codice penale, che aggrava il furto semplice (art. 624 c.p.) quando il fatto è commesso con destrezza.

La Cassazione, con le Sezioni Unite (sentenza n. 34090/2017), ha chiarito che la destrezza richiede un comportamento che dimostri particolare abilità o astuzia nell’eludere la vigilanza della persona offesa, e non il semplice approfittamento di una distrazione già esistente e non provocata dall’agente.

Una pronuncia più recente (Cassazione penale, Sez. V, n. 2236/2022) ha ribadito che serve un accorgimento ulteriore rispetto a quanto strettamente necessario per compiere il furto. Il borseggio in senso classico – inclusa la sua variante digitale – viene comunque considerato dalla giurisprudenza un’ipotesi tipica di destrezza. Le conseguenze penali sono rilevanti: la reclusione va da due a sei anni, con multa da 927 a 1.500 euro.

LEGGI pure Furto, ricettazione, appropriazione indebita: le differenze

Cos’è l’utilizzo indebito dei dati della carta

Se il borseggio digitale si traduce nell’uso dei dati sottratti per effettuare acquisti o prelievi, senza essere titolari dello strumento di pagamento, la condotta ricade nell’articolo 493-ter del Codice penale, che punisce con la reclusione da uno a cinque anni e la multa da 310 a 1.550 euro chi utilizza indebitamente carte di credito, di pagamento o qualsiasi altro strumento di pagamento diverso dai contanti.

La norma – introdotta dal D.Lgs. 21/2018 e successivamente modificata nel 2021 per adeguarla alla disciplina europea sugli strumenti di pagamento diversi dai contanti – punisce anche chi falsifica, possiede o cede carte contraffatte o di provenienza illecita.

La frode informatica (art. 640-ter c.p.), che presuppone un’alterazione di un sistema informatico: la giurisprudenza, come emerge dalla pronuncia della Cassazione n. 50395/2019, tende ad applicare l’art. 493-ter quando manca questa componente di manomissione tecnica, riservando la frode informatica ai casi più articolati – per esempio quando si configura un abuso di identità digitale, come chiarito dalla sentenza della Cassazione n. 38027/2023, che in questi casi rende il reato procedibile d’ufficio.

Cosa fare in caso di operazioni non autorizzate

Chi subisce operazioni non autorizzate tramite la propria carta contactless – rubata, clonata o comunque utilizzata senza consenso – ha una tutela specifica nel D.Lgs. 11/2010, che recepisce la disciplina europea sui servizi di pagamento (PSD2).

L’onere della prova non ricade sulla vittima. È la banca a dover dimostrare che l’operazione contestata è stata correttamente autenticata e riconducibile al titolare, oppure a una sua colpa grave (art. 10 D.Lgs. 11/2010). In assenza di questa prova, l’utente ha diritto al rimborso immediato, di regola entro la fine della giornata operativa successiva alla segnalazione (art. 11), salvo un motivato sospetto di frode comunicato alle autorità competenti.

Fino al momento in cui la carta viene bloccata, la responsabilità dell’utente per operazioni non autorizzate resta contenuta entro una franchigia massima di 50 euro (art. 12, comma 3), salvo dolo o colpa grave. Dopo la comunicazione del blocco, salvo comportamenti fraudolenti, l’utente non risponde più di eventuali utilizzi indebiti.

Per attivare questa tutela occorre agire senza indugio e:

• bloccare immediatamente la carta contattando la banca o l’emittente;
• disconoscere formalmente le operazioni non riconosciute con un reclamo scritto;
• sporgere denuncia alle forze dell’ordine, allegando l’elenco delle transazioni contestate;
• conservare copia di ogni comunicazione inviata alla banca, utile in caso di contenzioso successivo.

Ti suggeriamo di leggere anche Rubare per necessità è reato?

Quali sono i limiti tecnici del contactless in Italia?

In Italia il pagamento contactless senza inserimento del PIN è consentito fino a 50 euro per singola transazione, soglia in vigore dal 1° gennaio 2021 (prima era di 25 euro), secondo l’accordo tra i circuiti Bancomat, Mastercard e Visa in applicazione del Regolamento delegato UE 2018/389, che completa la direttiva PSD2.

Questi limiti riducono, ma non azzerano, il danno potenziale in caso di furto della carta: un malintenzionato che entra in possesso fisico dello strumento può comunque effettuare più pagamenti sotto soglia in rapida sequenza, prima che la vittima si accorga della sottrazione e blocchi la carta.

La protezione RFID funziona davvero?

I portafogli e le custodie anti-RFID, che promettono di schermare le carte dalla lettura a distanza, rispondono a un rischio – lo skimming contactless puro – che nella pratica risulta poco diffuso rispetto ad altre minacce digitali, come confermano le analisi di settore sul tema. La loro utilità concreta va quindi valutata con equilibrio: non danneggiano, ma non sostituiscono le precauzioni più efficaci.

Le difese realmente incisive restano altre, ovvero:

• controllare periodicamente i movimenti tramite app bancaria o home banking, per individuare tempestivamente operazioni sospette;
• attivare le notifiche push o SMS per ogni transazione, comprese quelle di importo minimo;
• bloccare subito la carta in caso di furto o smarrimento, anche tramite l’app della banca, senza attendere di raggiungere una filiale;
• impostare limiti di spesa personalizzati sulla carta, quando l’istituto lo consente, per contenere l’esposizione in caso di uso fraudolento;
• evitare di conservare più carte contactless nello stesso scomparto facilmente accessibile in luoghi affollati come mezzi pubblici o eventi.

Cosa fare se si è vittime di borseggio digitale

Se ti accorgi di aver subito un borseggio digitale – furto della carta o operazioni non riconosciute – dovresti muoversi su due piani paralleli: quello con la banca, per ottenere il rimborso, e quello penale, per la tutela contro l’autore del reato. I due percorsi non si escludono e possono procedere insieme, soprattutto quando l’importo sottratto è rilevante o le operazioni si sono ripetute nel tempo.

Un avvocato esperto in diritto penale o bancario può valutare la fondatezza della richiesta di rimborso, verificare la correttezza della procedura di disconoscimento e, se necessario, assistere la vittima nella fase di denuncia o in un eventuale contenzioso con l’istituto di credito.

Ti suggeriamo di leggere anche Friendly chargeback: come difendersi dalle truffe degli acquirenti nell’e-commerce

Borseggio digitale – Domande frequenti

Riferimenti normativi

• Codice penale, art. 624 – furto;
• Codice penale, art. 625 – circostanze aggravanti (furto con destrezza);
• Codice penale, art. 493-ter – indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti;
• Codice penale, art. 640-ter – frode informatica;
• D.Lgs. 27 gennaio 2010, n. 11 – attuazione della direttiva sui servizi di pagamento, artt. 10, 11 e 12;
• Regolamento delegato (UE) 2018/389 – norme tecniche di regolamentazione per l’autenticazione forte del cliente.

Vuoi una consulenza legale sull'argomento? Chiedi Gratis ad un Avvocato

• +3000 avvocati pronti ad ascoltarti
• Consulenza Legale Online - Telefonica, in webcam, scritta o semplice preventivo gratuito
• Anonimato e Riservatezza - La tua consulenza verrà letta solo dall'avvocato che accetterà di rispondere

Richiedi una Consulenza