Phishing con OTP comunicati al truffatore integra colpa grave del cliente (ABF Collegio di Milano n. 2999 del 02.04.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento online non autorizzate, l’istituto dell’autenticazione forte non esonera l’intermediario dalla verifica del concreto contegno del cliente, ma neppure trasforma l’utilizzatore in soggetto passivo delle condotte fraudolente. Quando le operazioni risultano autenticate mediante fattore di conoscenza e fattore di possesso, e il cliente abbia comunicato a terzi i codici OTP ricevuti, la condotta dell’utilizzatore integra di regola colpa grave ai sensi della disciplina del D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/17. Ne consegue il rigetto della domanda di rimborso, anche quando il messaggio civetta sia stato effettivamente prodotto, se il suo contenuto non consenta di ascrivere l’insidia all’intermediario e se manchi prova della riconducibilità della chiamata telefonica all’istituto.

Il Fatto

Il ricorrente, cointestatario di un conto corrente, afferma di avere ricevuto un SMS apparentemente proveniente dall’intermediario, contenente un link per l’aggiornamento dei dati. Cliccato il link e digitate le credenziali su un sito identico a quello della banca, veniva contattato da un sedicente addetto antifrode che gli chiedeva i codici OTP in arrivo via SMS. Il cliente li comunicava.

Dopo qualche giorno scopriva due pagamenti, di € 3.500,00 e di € 1.500,00, eseguiti su un circuito di pagamento. Seguivano denuncia, disconoscimento delle operazioni, mediazione non riuscita e reclamo respinto. Il ricorrente domanda il rimborso di € 5.000,00, oltre alle spese. L’intermediario eccepisce che le operazioni sono state autenticate con password e OTP e invoca la colpa grave del cliente.

La motivazione del Collegio

Il Collegio individua l’oggetto della controversia nelle due operazioni online del 25 marzo 2022, per complessivi € 5.000,00, e richiama il D.lgs. n. 11/2010 come modificato dal D.lgs. n. 218/17, applicabile ratione temporis in quanto entrato in vigore il 13/01/2018. Dagli atti risulta la denuncia del 30 marzo 2022.

Sul piano dell’autenticazione forte, i log informatici prodotti dall’intermediario dimostrano che le operazioni sono state correttamente autenticate tramite il fattore di conoscenza, ossia la password, e il fattore di possesso, ossia i codici OTP giunti al cliente via SMS. La corretta registrazione e contabilizzazione non è quindi contestabile.

Il nucleo della decisione è la valutazione della colpa grave. Il Collegio esamina l’evidenza del messaggio civetta prodotta dal ricorrente e ne rileva plurimi indici di non riconducibilità all’intermediario: la denominazione della chat non riferibile all’istituto; messaggi genuini anteriori di oltre un mese rispetto a quello civetta; un link estraneo al dominio dell’intermediario e privo di riferimenti allo stesso; l’assenza di errori grammaticali o lessicali rilevanti; l’assenza di messaggi parlanti relativi alle operazioni.

Quanto alla chiamata, il Collegio rileva che il ricorrente non produce evidenza della stessa e che, comunque, il numero indicato nella denuncia non risulta riconducibile all’intermediario, così escludendo la qualificazione come ID caller spoofing. Parimenti estranei all’istituto risultano il link e la denominazione della chat.

Su queste basi il Collegio ritiene raggiunta la prova dell’efficacia determinante della colpa grave del ricorrente nella causazione dell’evento dannoso e, per l’effetto, non accoglie il ricorso. Restano assorbite le ulteriori eccezioni dell’intermediario, comprese quelle sulle spese di assistenza professionale.