Autenticazione forte e colpa grave dell’utente nella truffa con spoofing del numero (ABF Collegio di Milano n. 2595 del 20.03.2026)

Principi di diritto (Massima)
In tema di disconoscimento di operazioni di pagamento, il prestatore di servizi di pagamento è tenuto, ai sensi dell’art. 10, D.lgs. n. 11/2010, a fornire la prova dell’autenticazione e della regolare esecuzione dell’operazione, nonché a indicare gli elementi di fatto dai quali possa trarsi in via presuntiva la colpa grave dell’utilizzatore. Ove tale prova sia raggiunta attraverso i log di sistema che documentano l’enrollment dell’app mediante PIN e OTP e l’autenticazione del bonifico tramite smartcode e mobile token, l’operazione si presume debitamente autorizzata. La comunicazione dei codici OTP al truffatore integra colpa grave dell’utente, quale contributo causale determinante alla consumazione della frode, indipendentemente dalla sofisticatezza della tecnica di spoofing del numero chiamante impiegata.

Il Fatto

Il ricorrente afferma di aver ricevuto il 10 aprile 2025 una telefonata apparentemente proveniente dal servizio clienti della banca, con cui un sedicente operatore lo informava di tentativi di accesso al conto e lo invitava a reinstallare l’app ufficiale, trasmettendogli via SMS i codici necessari. Nel medesimo contesto l’utente segnalava l’accaduto alla banca senza riscontro. Il 14 aprile 2025, contattato nuovamente dal medesimo soggetto con la prospettazione di operazioni sospette da bloccare, subiva l’esecuzione di un bonifico istantaneo di € 9.050,00, pari all’intera disponibilità del conto, a favore di soggetto sconosciuto, unitamente alla richiesta di un prestito di € 6.500,00 a suo nome.

Il cliente lamenta di non aver mai rilasciato codici di autenticazione a terzi, di aver operato sull’app ufficiale e di essere stato vittima di un attacco di ID caller spoofing. Assume la violazione da parte della banca delle disposizioni in materia di SCA di cui al D.lgs. n. 11/2010 e chiede il rimborso di € 9.050,00, oltre interessi e spese. L’intermediario resiste sostenendo che l’utente ha comunicato i propri codici consentendo l’attivazione dell’app su un dispositivo di terzi e che l’operazione è stata autenticata nel pieno rispetto della normativa, con colpa grave del cliente.

La motivazione del Collegio

Il Collegio richiama l’art. 10, D.lgs. n. 11/2010, che pone a carico del prestatore di servizi di pagamento l’onere di provare l’autenticazione e la regolare esecuzione dell’operazione, nonché di allegare gli elementi di fatto dai quali desumere in via presuntiva la colpa grave dell’utilizzatore, richiamando sul punto il Collegio di Coordinamento, decisione n. 22745/2019.

I log prodotti dall’intermediario documentano che l’enrollment dell’app sul dispositivo del 10 aprile 2025 è avvenuto mediante inserimento del PIN e del codice OTP inviato al recapito telefonico del cliente, e che il bonifico del 14 aprile 2025 è stato autenticato tramite smartcode e mobile token app sul medesimo dispositivo, con SCA formalmente rispettata in entrambe le fasi. La prova di autenticazione è dunque raggiunta.

Quanto alla colpa grave, la ricostruzione dei fatti, confermata dalla denuncia in atti, evidenzia che il cliente ha inserito o comunicato al truffatore il codice OTP ricevuto sul proprio cellulare durante la telefonata del 10 aprile 2025, consentendo l’attivazione dell’app su un dispositivo a lui non riconducibile. Il Collegio osserva che le chiamate e i messaggi possono apparire come provenienti da un mittente attendibile attraverso tecniche di spoofing e che tale consapevolezza è ormai diffusa tra gli utenti bancari, richiamando il Collegio di Milano, decisione n. 233/2025.

Rileva inoltre che il cliente non ha prodotto evidenza della chiamata ricevuta, non ha utilizzato la funzione di verifica della chiamata messa a disposizione dall’intermediario, la cui esistenza avrebbe consentito di sventare la frode, e ha ignorato gli alert di attivazione dell’app e di esecuzione del bonifico inviati via e-mail e SMS, come risulta dalla stessa denuncia (Collegio di Napoli, decisione n. 11053/2025; Collegio di Bari, decisione n. 9133/2025). La comunicazione dei codici OTP al truffatore costituisce pertanto condotta gravemente negligente, avendo fornito il contributo causale determinante alla consumazione della frode, indipendentemente dalla sofisticatezza della tecnica impiegata. Il ricorso non può quindi trovare accoglimento.