Frode via smishing e autenticazione forte resta a carico del cliente (ABF Collegio di Napoli n. 180 del 13.01.2026)

Principi di diritto (Massima)
Nella disciplina dei servizi di pagamento, la circostanza che il cliente sia stato indotto con l’inganno a fornire le proprie credenziali non esclude, di per sé, che le operazioni siano validamente autorizzate. Se l’intermediario dimostra che il bonifico e il pagamento on line sono stati disposti con autenticazione forte (SCA), mediante accesso dal dispositivo abituale con riconoscimento biometrico e conferma tramite token o OTP sul numero certificato, le operazioni non rientrano nel regime delle operazioni non autorizzate. Il sistema di autenticazione a due fattori conforme alla normativa europea e alle norme tecniche EBA esclude, in tal caso, la responsabilità dell’intermediario, non ravvisandosi elementi di anomalia ove le operazioni siano contenute entro i limiti di spesa consentiti.

Il Fatto

La ricorrente riferisce di aver ricevuto, in data 12.03.2025, un sms apparentemente proveniente dall’intermediario, con cui veniva allertata circa operazioni non autorizzate. Contattato il numero indicato nel messaggio e rassicurata dalla riconducibilità dello stesso all’intermediario, forniva i propri dati personali e subiva due addebiti non autorizzati: un bonifico di euro 10.000,00 e un pagamento on line di euro 2.000,00 tramite carta di debito.

Resasi conto della truffa, la cliente contattava la banca, bloccava il conto e sporgeva denuncia. Insoddisfatta dell’esito dell’interlocuzione prodromica, si rivolgeva all’Arbitro chiedendo il rimborso di euro 12.000,00, oltre spese di assistenza difensiva e, solo nelle repliche, rivalutazione monetaria e interessi legali. L’intermediario resisteva sostenendo che entrambe le operazioni erano state correttamente autorizzate con autenticazione a due fattori.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo di riferimento, individuando le fonti della strong customer authentication negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nelle norme tecniche di regolamentazione EBA recepite con il Regolamento Delegato (UE) n. 389/2018 e nei criteri interpretativi dell’EBA. Richiama inoltre l’art. 12 del d.lgs. n. 11/2010 e i correlati obblighi di diligenza dell’utente di cui all’art. 7.

La questione centrale è se le operazioni contestate siano da qualificare come non autorizzate o se, al contrario, esse siano state validamente disposte dalla cliente. Sul punto la banca produce una dettagliata evidenza temporale delle attività registrate il 12.03.2025. I due accessi mattutini avvengono tramite riconoscimento biometrico dall’abituale dispositivo in uso alla ricorrente; il bonifico di euro 10.000,00 viene inserito e autorizzato con accesso biometrico e conferma con token.

Il Collegio ritiene che tali dati rendano fortemente verosimile che quantomeno il bonifico sia stato disposto personalmente dalla ricorrente e che, in ogni caso, per esso siano state pienamente rispettate le disposizioni in tema di SCA. Analogo ragionamento vale per il pagamento di euro 2.000,00: gli accessi da web con username, password e OTP sul numero certificato, la consultazione del PIN della carta, la modifica della password e la generazione del CVV dinamico con doppio fattore sono compatibili con il consueto dispositivo della cliente. Il Collegio esclude che sia stato certificato un nuovo device, attività che avrebbe richiesto una procedura di enrollment presidiata da SCA.

Quanto alla conformità del procedimento di generazione del CVV dinamico, il Collegio richiama, per fattispecie simili, la decisione del Collegio di Napoli n. 11679 del 2024 e la decisione del Collegio di Roma n. 8749 del 2024. Sul regime di esenzione dall’autenticazione forte entro i 180 giorni dall’ultimo accesso richiama la decisione del Collegio di Torino n. 9705 del 2024.

Il Collegio osserva infine che non emergono elementi di anomalia, posto che entrambe le operazioni contestate erano contenute entro i limiti massimi di spesa consentiti. Il ricorso viene pertanto non accolto.