Phishing con condivisione dei codici OTP e colpa grave del cliente (ABF Collegio di Milano n. 137 del 12.01.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, qualora il cliente abbia comunicato volontariamente a terzi i codici OTP ricevuti tramite SMS, la condotta integra colpa grave ai sensi dell’art. 12 del d.lgs. n. 11/2010 e comporta il rigetto della domanda di rimborso. Il concorso causale parziale dell’utente in fase autorizzativa non basta, da solo, a qualificare la transazione come non autorizzata, poiché la normativa speciale prescinde dalla nozione civilistica di consenso. Resta ferma la valutazione in concreto del comportamento del pagatore, anche alla luce del tenore dei messaggi scambiati con il truffatore, che possono rivelare l’evidenza del raggiro.

Il Fatto

La ricorrente, titolare di un conto corrente con carta di debito collegata, ha ricevuto un’e-mail apparentemente proveniente da un sito di e-commerce. Cliccando sul link, ha inserito i dati della carta su una pagina clone e, in una chat di supporto, ha condiviso i codici OTP ricevuti via SMS. In tal modo ha subito due addebiti di € 441,98 ciascuno, per un totale di € 883,96.

Dopo aver bloccato la carta e aver richiesto il rimborso, la cliente ha visto respingere la propria istanza dall’intermediario, che ha invocato la corretta autenticazione delle operazioni e la colpa grave della titolare. La ricorrente ha quindi adito l’ABF chiedendo la restituzione della somma.

La motivazione del Collegio

Il Collegio richiama il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. n. 218/17 di attuazione della direttiva 2015/2366/EU. Secondo l’orientamento dei Collegi, se il concorso causale dell’utente in fase dispositiva o autorizzativa è parziale, la transazione non è per ciò solo non autorizzata: la normativa speciale prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta. Resta però ferma la valutazione in concreto del dolo o della colpa grave dell’utente.

Nel caso di specie l’intermediario ha documentato l’autenticazione tramite codice OTP 3DSecure e password statica. La stessa ricorrente ha ammesso di aver inserito i dati della carta sulla pagina clone e di aver comunicato al truffatore, via chat, i codici OTP. Tali dichiarazioni sono state valutate dal Collegio come prova legale ai sensi dell’art. 2730 c.c.

Il Collegio ricorda che il phishing segue uno schema tipico e noto, e che la sua diffusione è tale per cui la condotta del cliente è generalmente connotata da colpa grave: l’impiego di una media diligenza sarebbe sufficiente a impedire la truffa. Nel caso concreto, la ricorrente ha fornito il primo codice OTP, ha visto un primo addebito e ha comunque trasmesso al truffatore anche il secondo codice ricevuto via SMS.

Assume inoltre rilievo il tenore dei messaggi scambiati: le comunicazioni risultano approssimative e connotate da errori grammaticali e imprecisioni che avrebbero dovuto insospettire la destinataria. Quanto al mancato blocco dei pagamenti, l’intermediario ha dimostrato di aver disposto il blocco della carta pochi minuti dopo la truffa, quando le transazioni erano già tecnicamente concluse e non revocabili.

Il Collegio ha pertanto ritenuto sussistente la colpa grave della ricorrente e ha rigettato il ricorso.