Phishing con caller ID spoofing e colpa grave del cliente sugli OTP (ABF Collegio di Milano n. 3411 del 17.04.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento assolve all’onere probatorio di cui all’art. 10, comma 1, del D.Lgs. n. 11/2010 quando dimostra, tramite i log informatici, che l’operazione contestata è stata autenticata mediante autenticazione forte del cliente (SCA), correttamente registrata e contabilizzata e non affetta da malfunzionamento tecnico. L’utilizzo di uno strumento di pagamento registrato non basta, da solo, a provare l’autorizzazione del pagatore né la sua frode o colpa grave: sul punto l’onere resta a carico dell’intermediario. Accertata la regolarità formale delle operazioni, il danno è posto a carico esclusivo del cliente quando questi, comunicando a terzi i codici OTP e omettendo di segnalare “senza indugio” l’uso non autorizzato dello strumento, tiene una condotta di colpa grave ai sensi dell’art. 12, comma 4, del D.Lgs. n. 11/2010, tale da interrompere il nesso causale tra attività del PSP e perdita.

Il Fatto

Il ricorrente riferisce di essere stato contattato da un’utenza apparentemente riconducibile all’intermediario: un sedicente operatore lo avvertiva di un accesso anomalo al conto e, nei giorni successivi, lo induceva a collaborare per la “riconfigurazione” dell’app bancaria. Nel corso della vicenda riceveva notifiche di bonifici, in parte bloccati e in parte eseguiti, e apprendeva dell’apertura a suo nome di un prestito di € 15.000,00, anch’esso sottratto tramite bonifici. Il danno complessivo ammontava a € 23.599,00. Solo dopo ulteriori tentativi di bonifico e un aumento dei massimali sporgeva denuncia e chiedeva il blocco degli strumenti.

Il ricorrente nega di aver comunicato le credenziali, invoca la tecnica dell’ID caller spoofing, sostiene l’inadeguatezza dei presidi di sicurezza dell’intermediario e contesta la sussistenza di una propria colpa grave, chiedendo la restituzione della somma. L’intermediario resiste, affermando che le operazioni sono state autenticate con SCA grazie alla collaborazione attiva del cliente nella comunicazione dei codici OTP.

La motivazione del Collegio

Il Collegio muove dalla ripartizione degli oneri probatori fissata dall’art. 10 del D.Lgs. n. 11/2010: il PSP deve provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti tecnici; il comma 2 esclude che il solo utilizzo dello strumento registrato valga a dimostrare l’autorizzazione, la frode o la colpa grave del pagatore.

Nel caso concreto l’intermediario ha prodotto i log informatici relativi sia all’associazione dell’app a un nuovo dispositivo, avvenuta il 01/04/2025 su un device Samsung, sia agli aumenti dei massimali e ai bonifici contestati. Da tale documentazione risulta che le procedure si sono perfezionate con un fattore di conoscenza (PIN/SmartCode) e un fattore di possesso (codice OTP inviato all’utenza del ricorrente e/o validazione tramite l’app installata sul dispositivo dei truffatori). L’onere probatorio è dunque assolto.

Passando alla colpa grave del cliente, il Collegio ravvisa plurimi e concordanti elementi. Anzitutto la dinamica della frode presuppone una cooperazione attiva: l’associazione dell’app a un dispositivo estraneo non sarebbe stata possibile senza la comunicazione dei codici OTP ricevuti sul cellulare del ricorrente, che ammette di aver “collaborato” per “riconfigurare” l’applicazione. Ciò viola l’obbligo dell’art. 7 del D.Lgs. n. 11/2010 di proteggere le credenziali e di non comunicarle a terzi per nessuna ragione; lo spoofing, pur insidioso, non giustifica la cessione di codici segreti e “usa e getta”.

In secondo luogo, il ricorrente non ha colto evidenti segnali di allarme: anomalie stilistiche e di formattazione negli SMS, l’istruzione di “attendere 24 ore prima di prendere visione del conto corrente”, la sequenza contraddittoria dei messaggi sul prestito. In terzo luogo, e in modo dirimente, ha violato l’obbligo di comunicare “senza indugio” l’uso non autorizzato dello strumento ex art. 7, comma 1, lett. b), del D.Lgs. n. 11/2010: nonostante le notifiche via e-mail sull’attivazione dell’app, sugli aumenti dei massimali e su ogni bonifico, è rimasto inerte per giorni, fidandosi delle rassicurazioni telefoniche, e ha segnalato l’accaduto solo il 05/04/2025, a danno ormai quasi interamente prodotto.

La combinazione di comunicazione attiva dei codici, incuria verso i segnali di anomalia e grave ritardo nella segnalazione integra un comportamento che si discosta in modo macroscopico dalla diligenza richiesta e interrompe il nesso causale tra attività del PSP e danno. Il Collegio esclude inoltre anomalie talmente macroscopiche da imporre all’intermediario il blocco dell’operatività. Il ricorso è pertanto respinto.