Phishing con OTP: operazione autorizzata e nessun concorso di colpa della banca (ABF Collegio di Milano n. 1696 del 24.02.2026)

Principi di diritto (Massima)
L’operazione di pagamento eseguita materialmente dal pagatore, che inserisca i dati dello strumento e confermi la transazione con il codice di autenticazione forte, è autorizzata ai sensi del D.Lgs. n. 11/2010, anche quando il consenso sia viziato dal raggiro di un terzo. Non opera, pertanto, il regime di responsabilità aggravata dell’intermediario previsto per le operazioni non autorizzate dagli artt. 10 e 11 del D.Lgs. n. 11/2010. Resta possibile una responsabilità concorrente di diritto comune ex art. 1176, comma 2, c.c., ma solo se la condotta del prestatore abbia contribuito causalmente alla frode. In caso di operazione singola e di importo non anomalo, la mancata attivazione o il malfunzionamento dei sistemi di allerta istantanea non integra concorso di colpa.

Il Fatto

La ricorrente, intendendo effettuare una ricarica telefonica, accedeva a un sito che riproduceva fedelmente il portale di un operatore di telefonia mobile. Tratta in inganno dalla veste grafica, inseriva i dati della propria carta di pagamento e il codice OTP ricevuto, autorizzando così un’operazione. Poco dopo rilevava un addebito non voluto di € 330,96 a favore di un esercente diverso da quello della ricarica.

La cliente produceva lo screenshot dell’addebito e del sito contraffatto, evidenziando che l’URL differiva da quello legittimo per un dettaglio minimo. Presentava reclamo all’intermediario, che riscontrava negativamente. Proponeva quindi ricorso all’ABF chiedendo la restituzione della somma. L’intermediario non depositava controdeduzioni nei termini e formulava istanza di rimessione in termini.

La motivazione del Collegio

In via pregiudiziale il Collegio rigetta l’istanza di rimessione in termini. Dalla documentazione in atti risulta che l’intermediario è stato regolarmente informato dell’avvio del procedimento con comunicazione PEC del 28/10/2025: nessuna decadenza è quindi configurabile.

Nel merito, la questione centrale è se l’operazione debba qualificarsi come non autorizzata ai sensi della disciplina di attuazione della direttiva sui servizi di pagamento. Il Collegio ritiene di escluderlo. È pacifico, e ammesso dalla stessa ricorrente con dichiarazioni di valenza confessoria, che l’operazione sia stata eseguita materialmente e per intero dalla cliente, che ha inserito volontariamente i dati dello strumento e ha confermato la transazione con il codice di autenticazione forte.

Secondo l’orientamento consolidato dei Collegi territoriali, quando l’operazione è compiuta per intero dal pagatore, tanto nella fase dispositiva quanto in quella di autenticazione, essa è autorizzata anche se il consenso risulta viziato dal raggiro di un terzo. Non trova quindi applicazione il regime che pone a carico del prestatore l’onere di provare l’autenticazione, la corretta registrazione e l’assenza di anomalie tecniche, né l’obbligo di rimborso immediato.

Esclusa l’applicabilità del regime speciale, il Collegio valuta la possibile responsabilità concorrente di diritto comune per violazione dell’obbligo di diligenza professionale qualificata ex art. 1176, comma 2, c.c. La giurisprudenza dei Collegi individua alcune ipotesi sintomatiche di concorso di colpa: mancata adozione di sistemi di allerta, mancato rilievo di palesi indici di anomalia, mancata assistenza al cliente che segnali un sospetto di frode. Nel caso concreto nessuna di esse ricorre. La frode si è consumata interamente su un sito terzo, senza alcun contatto o messaggio riconducibile alla banca; l’operazione è stata unica e di importo non manifestamente anomalo, disposta in un lasso di tempo così breve da non consentire alcun intervento del cliente, neppure con un sistema di notifica istantanea. In caso di operazione singola, la mancata attivazione o il malfunzionamento di tali presidi di sicurezza successivi è irrilevante.

Il Collegio esclude infine altre carenze organizzative o comportamentali: la ricorrente non ha allegato di aver contattato la banca durante l’operazione, né emergevano indici di frode tanto evidenti da imporre un blocco preventivo. Un obbligo generalizzato di monitoraggio e sospensione rischierebbe di ostacolare la fluidità e la certezza del mercato dei servizi di pagamento. La perdita resta quindi a carico della ricorrente, e il ricorso è respinto.